cookies - 反伪造 token Cookie 仅在嵌入 Iframe 时才出现在请求 header 中

Question

我正在尝试嵌入一个简单的 Web 应用程序，该应用程序会将运行 asp.net Core 2.0 的用户输入发布到 iframe 中。我遇到的问题是，在嵌入时，正在生成的请求 header 缺少包含 .AspNetCore.Antiforgery.[token] 的 cookie header 。它是在 iframe 之外按预期生成的。

这会导致 400 错误，因为帖子无法验证 token 。

在 iframe 之外生成的请求 header :
Request Headers: NO IFRAME

在 iframe 内生成的请求 header :
Request Headers: INSIDE IFRAME

有人在防伪 token 库中遇到过这个问题吗？

谢谢!!

Answer 1

事实证明，需要将 cookie 类的 SameSite 属性设置为防伪选项的 None 才能工作:
services.AddAntiforgery(options =>
{
options.Cookie.SameSite = SameSiteMode.None;
});