所谓第三方 cookie，就是说你访问网页 A，却接收到域名 B 的 cookie 设定指令。这可能是由于网页 A 请求或链接了 B 的网页，比如上面提到的 iframe 以及 jsonp。
我查到了各个浏览器对于跨域的处理规则，可以看到第三方 cookie ，IE 在默认设置中是做了限制的。
| IE | FireFox | Chrome | Safari | Opera | |
|---|---|---|---|---|---|
| 限制第三方coookie | 是 | 否 | 否 | 是 | 否 |
要解决这个问题，有 2 种方法，一个就是上面说到的调整 IE 设置，将第三方域名加入到可信网站列表中；另一个方法，就是 P3P 了。
P3P？
P3P 全称 Platform for Privacy Preferences，隐私设定平台规范。这个规范极其复杂，若要讲清楚，天都黑了一半。简言之，就是网站向浏览器声明自己的隐私政策，比如网站是否搜集访问者的个人信息，设置 cookie 的用途等等。浏览器会依据设置，决定在第三方请求的条件下是否接受网站的 cookie。
完整地部署 P3P 包括设立隐私政策文件（policy.html）、原则档（policy.xml）、参考档（p3p.xml），有兴趣详细了解的可以参考 MSDN 中关于部署 P3P的文章。
这搞得太复杂了，我只是想在公司内部做各个管理系统的单点登录而已。好在还是有比较简单的方法的，就是发送 P3P 相关的 HTTP header。
ASP.NET:
HttpContext.Current.Response.AddHeader("p3p", "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");PHP:
header('P3P:CP="IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT"');header("P3P: CP=CURa ADMa DEVa PSAo PSDo OUR BUS UNI PUR INT DEM STA PRE COM NAV OTC NOI DSP COR");JSP:
response.setHeader("P3P","CP='IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT'");好吧，这些 IDC DSP 什么的是啥意思啊？
这些标签就是 P3P 所规定的了，例如 NOI 表示不搜集可识别用户的资料，ADM 表示信息搜集会用于网站管理……查看完整清单，中文简要清单。
浏 览器会根据这些标签决定是否接受 cookie，根据测试结果，加上 NOI 最省事，一个就够了。不过网站一般很难做到 NOI，除非永远匿名，“登录”功能可能就违背了NOI。理论上讲，标签应该真实地反映网站的信息搜集行为，若声明的隐私政策与实际行为不符，是会要负法 律责任的。Stackoverflow 有篇讨论提出了法律相关议题，可以参考。
除了传送 P3P http header，还可以通过 HTML meta 标签，或者 设定 IIS 服务器 来声明 P3P。