javascript - session cookie 集 `SameSite=None; Secure;` 不起作用

Question

我添加了 SameSite=None;安全的;设置cookie。但未设置 cookie，我无法登录我的网站。

response.writeHead(200, {
  'Content-Type': 'application/json',
  'Set-Cookie': 'token=' + token + '; SameSite=None; Secure; Expires=' + time.toUTCString() + '; Path=/' + '; Domain=' + hostname,
  'csrf-token': csrfToken
});

我在 Application>Storage>Cookies 下查看了开发人员工具中的 cookie，并查看了更多详细信息。它显示了一条警告消息:

this set-cookie was blocked because it was not sent over a secure connection

chrome 会阻止 cookie，因为我在开发环境中工作并且我发送 http 请求。但是这个在 Firefox 浏览器上的测试可以正确登录。
我把这个词 安全在 cookie 中，它工作正常，但是因为 这个词安全必须在 旁边使用同一站点 = 无 对于 跨域 ，否则cookie将被阻止。
我的问题是为什么当我使用 安全 ，只有 Chrome 浏览器会阻止 cookie，但在其他浏览器中确实如此。
如果我不使用 安全我无法测试支付网关，因为如果我不使用安全，它会阻止 Chrome 跨域...

Answer 1

My question is why when I use secure, only the Chrome browser blocksthe cookie, but it is true in other browsers

我不确定其他浏览器，但 Chrome 使用 secure 实现允许 cookie 的策略根据此 IETF draft 的安全连接属性.
虽然这个草案是为 Chrome 实现的，但它不在 Firefox 上，这就是为什么在 Firefox 上你去 about:config > network.cookie.sameSite.noneRequiresSecure , 默认值为 假 .
如果您只需要为本地开发环境执行此操作，您可以通过 保留 chrome 中 cookie 的旧行为禁用

chrome://flags/#same-site-by-default-cookies

chrome://flags/#cookies-without-same-site-must-be-secure

I have to support legacy http clients, but if I make https:// originsecure , I can't set cookie from http, more over I can't access thiscookie from http, my goal is to have SameSite=None, Secure on http andnot secure on http:// origin, any ideas, instead of establishingprotests near google office ?

鉴于它将在不久的将来成为标准，我怀疑您是否能够为客户端应用程序实现此行为，唯一的途径是安全，HTTPS。
引用:

https://web.dev/samesite-cookies-explained/#changes-to-the-default-behavior-without-samesite

https://redmondmag.com/articles/2020/01/28/samesite-cookie-changes-break-apps.aspx