javascript - 如何解决 Lighthouse 的 SameSite cookie 问题

Question

我使用了 Chrome 的网站审核工具 Lighthouse，它在我的网站上发现了以下问题:

• 问题类型:SameSite cookie
• /tr/?id=…(www.facebook.com)

如何解决这个问题？

更新

以下是我在“问题”面板中得到的内容:

屏幕截图

文字

Indicate whether to send a cookie in a cross-site request byspecifying its SameSite attribute

Because a cookie’s SameSite attribute was not set or is invalid, itdefaults to SameSite=Lax, which prevents the cookie from being sent ina cross-site request. This behavior protects user data fromaccidentally leaking to third parties and cross-site request forgery.

Resolve this issue by updating the attributes of the cookie:

-> Specify SameSite=None and Secure if the cookie should be sent in cross-site requests. This enables third-party use.

-> Specify SameSite=Strict or SameSite=Lax if the cookie should not be sent in cross-site requests.

AFFECTED RESOURCES:2 cookies: Name Domain & Path_ga .bootstrapcdn.com/ cppo .facebook.com/

1 request

?id=383112278961246&ev=fb_page_view&dl=https%3A%2F…rl=&if=false&ts=1621983787255&sw=1920&sh=1080&at=

Answer 1

SameSite cookie 属性本质上告诉浏览器是否根据请求的上下文发送 cookie。 SameSite 属性可以采用三个值:Strict、Lax 和 None。

• 严格 表示仅当用户与请求位于同一站点时，才会根据请求发送 Cookie。
• Lax 表示 cookie 也将在顶级导航上发送；即，如果用户从另一个网站导航到该网站。
• None 也会在跨站点请求上发送 cookie。 SameSite=None 还必须与 Secure 属性配对，以防止通过 http: 发送。

更多详情，请参阅 MDN或SameSite cookies explained (web.dev) .

因此，如果 cookie 是由您控制的服务器设置的，您可以通过在 Set-Cookie 上显式设置 SameSite 属性来解决此问题。 header 。

就您而言，cookie 似乎是由第三方资源(Bootstrap 和 Facebook)设置的。因此，我认为您无法控制他们在 cookie 上设置的属性。您可以查看这些请求的来源，并在不需要时删除这些资源(无论如何，这样做都是好事)。否则，我不会太担心它，除非它会导致您网站的功能出现问题。