解决新版chrome浏览器SameSite属性cookie拦截问题

最新推荐文章于 2025-11-06 11:01:51 发布

原创最新推荐文章于 2025-11-06 11:01:51 发布 · 4.4k 阅读

9 ·

CC 4.0 BY-SA版权

文章标签：

#chrome #elasticsearch #前端

新版Chrome浏览器默认屏蔽了第三方Cookie，导致跨站请求不再发送Cookie，影响了部分系统的正常运行。解决方案包括：不推荐的禁用SameSite属性或回退浏览器版本，同源策略下的Cookie共享，或者设置`Set-Cookie`响应头为`HttpOnly;Secure;SameSite=None`（需配合HTTPS）。另外，推荐采用token来替代Cookie实现会话管理。

解决新版chrome浏览器SameSite属性cookie拦截问题

问题现象：
由于升级了新版chrome浏览器后，发现系统正常iframe嵌套、AJAX，Image从以前的跨站会发送三方 Cookie，变成了不发送。导致某些内容无法显示了，页面空白，但是请求未报错。
查找资料：
发现Google 在2020年2月4号发布的 Chrome 80 版本中默认屏蔽所有第三方 Cookie，即默认为所有 Cookie 加上 SameSite=Lax 属性，并且拒绝非Secure的Cookie设为 SameSite=None
SameSite的作用就是防止跨域传送cookie，从而防止 CSRF 攻击和用户追踪，此举是为了从源头屏蔽 CSRF 漏洞。
解决方案：
1.（不推荐）禁用浏览器samsite属性/或降低版本（目前仅chorme存在）
2.（不推荐）保证同源策略cookie共享（保证ip或域名一直）
3.（推荐）设置response.setHeader(“Set-Cookie”, “HttpOnly;Secure;SameSite=None”)，需设置https证书
4.（推荐）不使用cookie共享会话，使用token实现