SameSite cookie、框架、子域和重定向

Question

Cookie 的SameSite 概念绝对是一个难以掌握的概念……

为准备Chrome 80 的更改，我正在尝试衡量缺少SameSite 属性对我的cookie 的影响。我有以下配置：

1. 用户最初访问 main.mysite.com
2. main.mysite.com 设置 SomeCookie (Set-Cookie: SomeCookie=value; path=/; secure; httponly) 并重定向到 auth.mysite.com
3. 用户在 auth.mysite.com 上进行身份验证并被重定向回 main.mysite.com（POST 请求）

因为 main.mysite.com 和 auth.mysite.com 之间的重定向被视为同一个站点，并且因为缺少 SameSite 属性被视为 @987654328 @ by Chrome 80，这很好用。

但是，当 main.mysite.com 嵌入到托管在另一个站点（例如 othersite.com）的页面的框架中时，SomeCookie em> 不会在第 3 步发送回 main.mysite.com：

这是正常的吗？为什么？

Answer 1

上面的答案是不正确的......让我澄清一些困惑。

1.对于 SameSite 而言，2 个站点何时是“同一站点”？

无论 cookie 的域属性如何，当两个站点的 eTLD+1（又名可注册域）相同时，它们将被视为相同。更详细的解释见我的回答here。

因此，在这种情况下，假设 eTLD 是“.com”，我们会认为 auth.mysite.com 和 main.mysite.com 是同一个站点，因为它们的 eTLD+1 都是 mysite.com。另一方面，anything.mysite.com 和 othersite.com 始终是跨站点的。无论是顶级导航还是子资源请求（如 iframe 中的图像或文档）都是如此。

2。域属性是什么意思？

如果 cookie 设置为 Set-Cookie: cookiename=cookievalue; Domain=mysite.com，则 cookie 将根据请求发送到与 *.mysite.com 匹配的任何域（即所有子域）。

这是一种调整 cookie 范围的方法。例如，您可以将Domain=mysite.com 用于您的所有域都关心的全局cookie，将Domain=corp.mysite.com 用于您公司所有内部域都关心的cookie（例如，您的外部域不关心）。

默认（对于未明确设置域属性的 cookie）是 cookie 仅发送到设置 cookie 的域。 （没有子域。）

您不能设置与请求的 URL 不匹配的域属性。

（另外，没有 cookie 的“来源”属性。）

3.那么域与 SameSite 有什么关系？

什么都没有。它们是独立的 cookie 属性。 Domain 不关心同站点/跨站点上下文，SameSite 也不关心 cookie 的域/子域范围。

4.当 mysite.com 嵌入到 othersite.com 的 iframe 中时，为什么不发送 default-Lax cookie？

这被认为是跨站点上下文，因为用户 URL 栏中的站点是 othersite.com，而请求是向 mysite.com 发出的，它们有两个不同的 eTLD+1。

因为它在 iframe 中，所以这不是顶级导航，所以所有跨站点请求都将排除 SameSite cookie。

如果它是顶级导航（用户单击将他们从 othersite.com 带到 mysite.com 的链接），那么请求方法将很重要。在绝大多数情况下，这将是一个 GET 请求，因此将发送 Lax 模式下的 cookie。

希望这会有所帮助！更多详情可以参考最新版spec。

Answer 2

首先，我假设 cookie 的 domain 属性设置为 auth.mysite.com 而不是 .mysite.com。如果 cookie 的 domain 属性是 auth.mysite.com，那么 auth.mysite.com 和 main.mysite.com 被不视为 SameSite。

您需要将cookie域属性设置为.mysite.com，以便浏览器可以看到两个站点之间的共享源并将它们视为同一个站点。

我对您的问题的回答： 是的，当您没有将 SomeCookie 发送回 main.mysite.com 时，这是正常的正在使用 iframe，原因如下：

• 在没有sameSite属性的情况下，该属性的值被视为Lax
• SameSite=Lax 与SameSite=Strict 几乎完全相同，除了SameSite=Lax 还允许通过'顶级导航' 发送cookie。顶级导航是当 URL 栏中的值发生变化时的导航类型。 iframe 上下文不会被解释为顶级导航。

如果您想让您的 cookie 可用于 iframe 上下文，您可以做两件事：

1. 将sameSite属性值设置为none，同时将secure属性值设置为true，这样就明确地告诉了浏览器你的意图（即跨站认证）。
2. 如果您将cookie 的domain 属性设置为.mysite.com，那么您甚至可以使用SameSite=Strict，即它们将被解释为同一个站点，因此无需额外注意必填。