SameSite 属性

Chrome 51 开始，浏览器的 Cookie 新增加了一个SameSite属性，用来防止 CSRF 攻击 和用户追踪（第三方恶意获取cookie），限制第三方 Cookie，从而减少安全风险。

SameSite属性可以设置三个值：Strict、Lax、None。

• Strict：严格，完全禁止第三方获取cookie，跨站点时，任何情况下都不会发送cookie；只有当前网页的 URL 与请求目标一致，才会带上 Cookie。这个规则过于严格，可能造成非常不好的用户体验。比如，当前网页有一个 GitHub 链接，用户点击跳转就不会带有 GitHub 的 Cookie，跳转过去总是未登陆状态。

  Set-Cookie: CookieName=CookieValue; SameSite=Strict;
  

• Lax：防范跨站，大多数情况下禁止获取cookie，除非导航到目标网址的GET请求（链接、预加载、GET表单）；设置了Strict或Lax以后，基本就杜绝了 CSRF 攻击。当然，前提是用户浏览器支持 SameSite 属性。

  SameSite属性的默认SameSite=Lax 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

  Set-Cookie: CookieName=CookieValue; SameSite=Lax;
  

  请求类型	示例	正常情况	Lax
  链接	<a href="..."></a>	发送 Cookie	发送 Cookie
  预加载	<link rel="prerender" href="..."/>	发送 Cookie	发送 Cookie
  GET 表单	<form method="GET" action="...">	发送 Cookie	发送 Cookie
  POST 表单	<form method="POST" action="...">	发送 Cookie	不发送
  iframe	<iframe src="..."></iframe>	发送 Cookie	不发送
  AJAX	$.get("...")	发送 Cookie	不发送
  Image	<img src="...">	发送 Cookie	不发送

• None：没有限制。

  必须同时设置Secure属性（Cookie 只能通过 HTTPS 协议发送），否则无效。 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

  Set-Cookie: widget_session=abc123; SameSite=None; Secure
  

【注1】CSRF 攻击是什么？

Cookie 往往用来存储用户的身份信息，恶意网站可以设法伪造带有正确 Cookie 的 HTTP 请求，这就是 CSRF 攻击。

举例来说，用户登陆了银行网站your-bank.com，银行服务器发来了一个 Cookie。

Set-Cookie:id=a3fWa;

用户后来又访问了恶意网站malicious.com，上面有一个表单。

<form action="your-bank.com/transfer" method="POST">
...
</form>

用户一旦被诱骗发送这个表单，银行网站就会收到带有正确 Cookie 的请求。为了防止这种攻击，表单一般都带有一个随机 token，告诉服务器这是真实请求。

<form action="your-bank.com/transfer" method="POST">
<input type="hidden" name="token" value="dad3weg34">
...
</form>

这种第三方网站引导发出的 Cookie，就称为第三方 Cookie。它除了用于 CSRF 攻击，还可以用于用户追踪。

比如，Facebook 在第三方网站插入一张看不见的图片。

<img src="facebook.com" style="visibility:hidden;">

浏览器加载上面代码时，就会向 Facebook 发出带有 Cookie 的请求，从而 Facebook 就会知道你是谁，访问了什么网站。

【注2】2019年2月4号谷歌发布Chrome 80稳定版后，关于cookie的SameSite属性做了以下更改：

（1）没有设置SameSite属性的默认SameSite=Lax。

（2）SameSite=None的cookie则必须设置为Secure，即安全链接（https）。

上面说的两个更改对于跨域请求会有很大的影响。

一些老的项目中跨域获取cookie的情况（如基于cookie的统一登录）。因为旧项目中不会设置SameSite属性，所以此次更新后，SameSite属性会默认为Lax，这就导致跨域的请求获取不到cookie数据。从而导致统一登录失败。

解决方案：

首先要将SameSite属性设置为None，其次要使用https安全链接。