Cookie的SameSite属性

Chrome51引入了Cookie的SameSite属性,用于防范CSRF攻击和用户追踪。该属性有Strict、Lax和None三个值。Strict严格限制第三方Cookie,Lax在多数情况下阻止,而None无限制但需配合Secure属性使用。默认值Lax可能影响跨域请求的Cookie传递,导致登录等问题。解决方案是设定SameSite=None并确保使用HTTPS。
摘要由CSDN通过智能技术生成

SameSite 属性

Chrome 51 开始,浏览器的 Cookie 新增加了一个SameSite属性,用来防止 CSRF 攻击 和用户追踪(第三方恶意获取cookie),限制第三方 Cookie,从而减少安全风险。

SameSite属性可以设置三个值:Strict、Lax、None。

  • Strict:严格,完全禁止第三方获取cookie,跨站点时,任何情况下都不会发送cookie;只有当前网页的 URL 与请求目标一致,才会带上 Cookie。这个规则过于严格,可能造成非常不好的用户体验。比如,当前网页有一个 GitHub 链接,用户点击跳转就不会带有 GitHub 的 Cookie,跳转过去总是未登陆状态。

    Set-Cookie: CookieName=CookieValue; SameSite=Strict;
    
  • Lax:防范跨站,大多数情况下禁止获取cookie,除非导航到目标网址的GET请求(链接、预加载、GET表单);设置了StrictLax以后,基本就杜绝了 CSRF 攻击。当然,前提是用户浏览器支持 SameSite 属性。

    SameSite属性的默认SameSite=Lax 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

    Set-Cookie: CookieName=CookieValue; SameSite=Lax;
    
    请求类型示例正常情况Lax
    链接<a href="..."></a>发送 Cookie发送 Cookie
    预加载<link rel="prerender" href="..."/>发送 Cookie发送 Cookie
    GET 表单<form method="GET" action="...">发送 Cookie发送 Cookie
    POST 表单<form method="POST" action="...">发送 Cookie不发送
    iframe<iframe src="..."></iframe>发送 Cookie不发送
    AJAX$.get("...")发送 Cookie不发送
    Image<img src="...">发送 Cookie不发送
  • None:没有限制。

    必须同时设置Secure属性(Cookie 只能通过 HTTPS 协议发送),否则无效。 【该操作适用于2019年2月4号谷歌发布Chrome 80稳定版之后的版本】

    Set-Cookie: widget_session=abc123; SameSite=None; Secure
    

【注1】CSRF 攻击是什么?

Cookie 往往用来存储用户的身份信息,恶意网站可以设法伪造带有正确 Cookie 的 HTTP 请求,这就是 CSRF 攻击。

举例来说,用户登陆了银行网站your-bank.com,银行服务器发来了一个 Cookie。

Set-Cookie:id=a3fWa;

用户后来又访问了恶意网站malicious.com,上面有一个表单。

<form action="your-bank.com/transfer" method="POST">
...
</form>

用户一旦被诱骗发送这个表单,银行网站就会收到带有正确 Cookie 的请求。为了防止这种攻击,表单一般都带有一个随机 token,告诉服务器这是真实请求。

<form action="your-bank.com/transfer" method="POST">
<input type="hidden" name="token" value="dad3weg34">
...
</form>

这种第三方网站引导发出的 Cookie,就称为第三方 Cookie。它除了用于 CSRF 攻击,还可以用于用户追踪。

比如,Facebook 在第三方网站插入一张看不见的图片。

<img src="facebook.com" style="visibility:hidden;">

浏览器加载上面代码时,就会向 Facebook 发出带有 Cookie 的请求,从而 Facebook 就会知道你是谁,访问了什么网站。

【注2】2019年2月4号谷歌发布Chrome 80稳定版后,关于cookie的SameSite属性做了以下更改:

(1)没有设置SameSite属性的默认SameSite=Lax。

(2)SameSite=None的cookie则必须设置为Secure,即安全链接(https)。

上面说的两个更改对于跨域请求会有很大的影响。

一些老的项目中跨域获取cookie的情况(如基于cookie的统一登录)。因为旧项目中不会设置SameSite属性,所以此次更新后,SameSite属性会默认为Lax,这就导致跨域的请求获取不到cookie数据。从而导致统一登录失败。

解决方案:

首先要将SameSite属性设置为None,其次要使用https安全链接。

  • 15
    点赞
  • 61
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值