那么，解决的办法，自然是对frame里面的第三方站点的response header里面添加一个确认信息，在MSDN里面有个最简单的解决办法：response.addHeader("P3P","CP=CAO PSA OUR")。response.setHeader("P3P","CP=CAO PSA OUR");

最简单的办法，是用一个filter，对所有路径下的uri，都设置response.setHeader("P3P","CP=CAO PSA OUR")。

上面是microsoft提供的办法，以下是likebao的办法：tomcat关闭cookies，用URL重写传递sessionid。

1.tomcat关闭cookies，强制使用URL Rewriting

增加E:\jakarta-tomcat-5.0.28\conf\Catalina\localhost\XXApp.xml

内容如下：

<Context path="/XXApp" docBase="${catalina.home}/webapps/XXApp"
        debug="0" privileged="true" cookies="false">
</Context>

2.URL重写传递seesionid

    <%

            String sid=session.getid();

             response.redirect("xxxx123.jsp;jsessionid="+sid);

    %>

p3p是微软的隐私策略，通常情况下跨域iframe或者frameset默认采用的隐私策略为“中”，该级别的策略拒绝保留session。CAO PSA OUR则意味着你同意跨域保留session，但是也意味着你的网站不再安全。

很多公司都希望WEB登陆与域用户结合起来，实现单点登陆，使用jcifs.jar可以非常好实现，下载一个最新的jcifs.jar，放到WEB-INFlib下面，现在是1.27版，然后修改web.xml，加入下面：

<filter>
<filter-name>NtlmHttpFilter</filter-name>
<filter-class>jcifs.http.NtlmHttpFilter</filter-class>
<init-param>
<param-name>jcifs.http.domainController</param-name>
<param-value>192.168.0.90</param-value>
</init-param>
</filter>

<filter-mapping>
<filter-name>NtlmHttpFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>