不同子域传递token，是使用iframe postmessage 还是放在 cookie document.domain呢？

Question

如
pass.xxx.com
a.xxx.com
b.xxx.com
c.xxx.com

pass登录了 a,b,c也想共享用户token 如何拿到呢
我调研了一下有iframe postmessage的方式， 还有说 cookie document.domain的
iframe postmessage代码可能写的更多点，看起来不够优雅
如果使用，cookie document.domain的 还有说之后所有的 post 请求都将对 CSRF 攻击开放，大佬们都是如何操作的呢

感谢

Answer 1

找到了一个这个cross-storage库

Answer 2

根域一样，cookie种到根域下

或者

加载 pass.xxx.com/path.js path.js程序生成
如php

document.cookie = 'token=<?php echo $token; ?>';

或者参考P3P