个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
25
4
我们在用户 session 开始时为 XSRF/CSRF 设置了 cookie。在某些时候，用户导航到不同的域(例如付款)，执行一些操作，然后导航到我们的域。返回我们的域后，Firefox 和 Safari 无法读取设置为 Samesite: Strict 的 Cookie，Chrome 可以。对于 Chrome 和 Firefox(但不是 Safari)，它确实显示在 cookie 的开发人员工具部分下。
samesite explanation on MDN解释说，在将来的请求中，cookie 将在请求 header 中一起发送。对于所有三种浏览器来说，情况都是如此。解释尚无定论的是是否应该可以通过 document.cookie 读取此 cookie。对于 Firefox、Safari 和 Chrome，我们可以读取“Lax”cookie，但仅对于 Chrome，我们可以读取“Strict”cookie。页面刷新时也是如此，但打开新选项卡时则不然(即仅通过导航)。
这是 Safari 和 Firefox 或 Chrome 中的错误 - 还是规范尚无定论？规范(w3？)是什么？
可以使用具有两个虚拟主机 test.internalsite.com 和 test.externalsite.com 的网络服务器在本地轻松重新创建它，并且这些页面包含一些 PHP:
<?php
setcookie("CSRFLax", "hiLax", array("path"=>"/", "samesite"=>"Lax", "domain"=>"test.internalsite.com"));
setcookie("CSRFStrict", "hiStrict", array("path"=>"/", "samesite"=>"Strict", "domain"=>"test.internalsite.com"));
?>
<html>
<body>External site
<p><a href="http://test.externalsite.com">Go to External site</a></p>
<p>Document cookie: <script>document.write(document.cookie);</script></p>
</body>
</html>
还有
<html>
<body>External site
<a href="http://test.internalsite.com">Go to internal Site</a>
</body>
</html>
最佳答案
根据我们的安全官员的建议，他不愿意讨论使用“宽松”cookie 代替“安全”cookie 的可能性(因为我认为除了语义之外没有其他原因)，我们实现了一个简单的解决方法通过刷新页面。这可以在 Chrome 和 Safari 中检索严格 cookie。
var canReadStrictCookie = function(cookies) {
return cookies.toLowerCase().indexOf('mySameSiteSecureCookieName') !== -1;
};
if(document.location.href.indexOf('jmkCheck') === -1 && !canReadStrictCookie(document.cookie)){
document.location.href='?jmkCheck';
}
如果您自己可以控制 cookie，我强烈建议您使用“宽松”设置。这个名称令人困惑，但这并不是安全性松懈(事实上，它比引入同站点之前更安全)。
关于firefox - 之前设置的 "Samesite: Strict"cookie 在 document.cookie 中不可用 Firefox 和 Safari，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/55937018/
25
4
0
这个问题已经有答案了: Is there any way to accept only numeric values in a JTextField? (20 个回答) It's possible i
我使用戴尔 XPS M1710。笔记本电脑的盖子、侧面扬声器和前置扬声器都有灯(3 组灯可以单独调节)和鼠标垫下方的灯。在 BIOS 中，我可以更改这些灯的颜色，至少是每个组。另外，我可以在鼠标垫下打
我知道我可以使用 在 iOS 5 中打开设置应用 [[UIApplication sharedApplication] openURL:[NSURL URLWithString:@"prefs://"
我有一个 Django 应用程序，我正在尝试为其设置文档。目录结构如下: - doc - project | - manage.py 我已经设置了路径以便 Sphinx 可以看到东西，但是当我尝试使用
我正在使用 768mb ram 运行 centos 5.5。我一直在日志中获取 server reached MaxClients setting, consider raising the MaxC
我在具有以下配置的服务器内运行了 Drupal 安装: StartServers 5 MinSpareServers 5 MaxSpareServers 15 MaxClien
是否可以使用 Microsoft.Web.Administration 包为给定的 location 配置 asp 设置？ 我想以编程方式将以下部分添加到本地 IIS applicationHost.
我一直在阅读为 kube-proxy 提供参数的文档，但没有解释应该如何使用这些参数。我使用 az aks create 创建我的集群使用 azure-cli 程序，然后我获得凭据并使用 kubect
我想知道与在 PHP 中使用 setcookie() 函数相比，在客户端通过 JavaScript 设置一些 cookie 是否有任何明显的优势？我能想到的唯一原因是减少一些网络流量(第一次)。但不是
我有一个按钮可以将 body class 设置为 .blackout 我正在使用 js-cookie设置cookie，下面的代码与我的按钮相关联。 $('#boToggle').on('click'
我有一堆自定义的 HTML div。我将其中的 3 存储在具有 slide 类的 div 中。然后，我使用该幻灯片类调用 slick 函数并应用如下设置: $('.slide').slick({
我正在创建一个应该在 Windows 8(桌面)上运行的应用 我需要: 允许用户使用我的应用启动“文件历史记录”。我需要找到打开“文件历史记录”的命令行。 我需要能够显示“文件历史记录”的当前设置。
我刚买了一台新的 MacBook Pro，并尝试在系统中设置 RVM。我安装了 RVM 并将默认设置为 ➜ rvm list default Default Ruby (for new shells)
由于有关 Firestore 中时间戳行为即将发生变化的警告，我正在尝试更改我的应用的初始化代码。 The behavior for Date objects stored in Firestore
在 ICS 中，网络 -> 数据使用设置屏幕中现在有“限制后台数据”设置。 有没有办法以编程方式为我的应用程序设置“限制后台数据”？ 或 有没有办法为我的应用程序调出具有选项的“数据使用”设置？ 最佳
我正在尝试使用 NextJS 应用程序设置 Jest，目前在 jest.config.js : module.exports = { testPathIgnorePatterns: ["/.n
我最近升级到 FlashDevelop 4，这当然已经将我之前的所有设置恢复到原来的状态。 我遇到的问题是我无法在新设置窗口的哪个位置找到关闭它在方括号、大括号等之前插入的自动空格的选项。 即它会自动
有没有办法以编程方式访问 iPhone/iPod touch 设置？ 谢谢。比兰奇 最佳答案 大多数用户设置可以通过读取存储在 /User/Library/Preferences/ 中的属性列表来访问
删除某些值时，我需要选择哪些设置来维护有序队列。我创建了带有自动增量和主键的 id 的表。当我第一次插入值时，没问题。就像 1,2,3,4,5... 当删除某些值时，顺序会发生变化，例如 1,5,3.
我正在尝试设置示例 Symfony2 项目，如此处所示 http://symfony.com/doc/current/quick_tour/the_big_picture.html 在访问 confi
我是一名优秀的程序员,十分优秀！