Cookie 的 SameSite 属性

最新推荐文章于 2024-12-02 16:51:56 发布

我依旧满足于那么的不自信

最新推荐文章于 2024-12-02 16:51:56 发布

阅读量5.7w

点赞数 11

文章标签： cookie Samesite

本文链接：https://blog.csdn.net/weixin_44269886/article/details/102459425

版权

本文介绍了HTTP协议中的Cookie SameSite属性，旨在防止CSRF攻击和用户追踪。主要内容包括：SameSite属性的三种模式（Strict、Lax和None）及其应用场景，与浏览器禁用第三方cookie的区别，以及第三方请求的判断标准。同时讨论了后台语言对SameSite的支持情况，强调在使用时的安全性和灵活性权衡。

摘要由CSDN通过智能技术生成

今天在做前后端分离项目的时候遇到了这样一个问题。
设置了与跨站点资源http://www.****.com/关联的cookie，但没有设置' SameSite '属性。在未来的Chrome版本中，只有当跨站请求设置为“SameSite=None”和“Secure”时，才会发送cookie。您可以在应用程序>存储> cookies下查看开发工具中的cookie，并在https://www.chromestatus.com/feature/5088147346030592和https://www.chromestatus.com/feature/5633521622188032查看更多详细信息。

去查了资料后发现，因为 HTTP 协议是无状态的，所以很久以前的网站是没有登录这个概念的，直到网景发明 cookie 以后，网站才开始利用 cookie 记录用户的登录状态。cookie 是个好东西，但它很不安全，其中一个原因是因为 cookie 最初被设计成了允许在第三方网站发起的请求中携带，CSRF 攻击就是利用了 cookie 的这一“弱点”，防止 CSRF 攻击的办法已经有 CSRF token 校验和 Referer 请求头校验。为了从源头上解决这个问题，Google 起草了一份草案来改进 HTTP 协议，那就是为 Set-Cookie 响应头新增 SameSite 属性，它用来标明这个 cookie 是个“同站 cookie”，同站 cookie 只能作为第一方 cookie，不能作为第三方 cookie。
Chrome 51 开始，浏览器的 Cookie 新增加了一个SameSite属性，用来防止 CSRF 攻击和用户追踪。