Set-Cookie 在 Chrome 和 Dolphin 中不起作用 - 有两个网站

Question

请参阅 8 个月前的 this question and answer。答案解决了一段时间的问题，但今天我发现登录和注销对于我的每个网站（域）在 Chrome 和 Dolphin 中再次单独工作。 但是，在 Firefox、Edge 和 Opera 中一切正常。 这些浏览器中的其他域名的 cookie 是否发生了变化？我该如何修复它，以便在两个网站上同时登录和注销？

用户登录或注销或注册一个网站，我希望他们也自动登录或注销另一个网站，它适用于 Firefox、Edge 和 Opera。但是 Chrome 和 Dolphin 的用户，目前如果他们登录或退出一个网站，不会影响另一个网站。

Django 视图代码为：

@csrf_exempt
def set_session(request):
    """
    Cross-domain authentication.
    """
    response = HttpResponse('')
    origin = request.META.get('HTTP_ORIGIN')
    if isinstance(origin, bytes):
        origin = origin.decode()
    netloc = urlparse(origin).netloc
    if isinstance(netloc, bytes):
        netloc = netloc.decode()
    valid_origin = any(netloc.endswith('.' + site.domain) for site in Site.objects.all().order_by("pk"))
    if (not (valid_origin)):
        return response
    if (request.method == 'POST'):
        session_key = request.POST.get('key')
        SessionStore = import_module(django_settings.SESSION_ENGINE).SessionStore
        if ((session_key) and (SessionStore().exists(session_key))):
            # Set session cookie
            request.session = SessionStore(session_key)
            request.session.modified = True
        else:
            # Delete session cookie
            request.session.flush()
    response['Access-Control-Allow-Origin'] = origin
    response['Access-Control-Allow-Credentials'] = 'true'
    return response

JavaScript 代码是：

window.speedy = {};

window.speedy.setSession = function (domain, key) {
    $.ajax({
        url: '//' + domain + '/set-session/',
        method: 'post',
        data: {
            key: key
        },
        xhrFields: {
            withCredentials: true
        }
    });
};

然后有一段 JavaScript 代码调用了这个函数两次：

speedy.setSession('speedy.net', 'session_key');
speedy.setSession('speedymatch.com', 'session_key');

其中'session_key' 替换为用户的会话密钥。

和 Django 设置（使用 Django 3.0.6）：

SESSION_COOKIE_SECURE = True
SESSION_COOKIE_SAMESITE = None

CSRF_COOKIE_SECURE = True
CSRF_COOKIE_SAMESITE = 'Strict'

这个问题有什么解决办法吗？我认为这是由于 Chrome 和 Dolphin 浏览器最近发生的变化。

我检查并从控制台收到以下错误：

看起来与以下链接有关：

• Cookies default to SameSite=Lax
• Reject insecure SameSite=None cookies

Answer 1

一个 cookie ... 设置时没有 `SameSite` 属性。

从 2020 年 7 月 14 日开始，您应该设置这些 ^1,2 并升级到 Django 3.1 ^3,4（8 月 4 日发布）：

SESSION_COOKIE_SECURE = True
SESSION_COOKIE_SAMESITE = 'None'

说明

在 Django 3.1 之前，如果设置为 None 单例，则不会设置 samesite 属性：

if samesite:
    if samesite.lower() not in ('lax', 'strict'):
        raise ValueError('samesite must be "lax" or "strict".')
    self.cookies[key]['samesite'] = samesite

从 Django 3.1 开始，samesite 属性设置为 'None' 字符串；仍然不是None/False:

if samesite:
    if samesite.lower() not in ('lax', 'none', 'strict'):
        raise ValueError('samesite must be "lax", "none", or "strict".')
    self.cookies[key]['samesite'] = samesite

参考文献

1. Cookies default to SameSite=Lax - Chrome Platform Status
2. Reject insecure SameSite=None cookies - Chrome Platform Status
3. Settings | Django documentation | Django #std:setting-SESSION_COOKIE_SAMESITE
4. Allowed setting SameSite cookies flags to 'None' · Pull Request #11894 · django/django