samesite - SameSite ="Lax"和 SameSite ="Strict"有什么区别？

Question

谁能告诉我 和有什么区别？ SameSite="松懈"和 SameSite="严格"通过一个很好的例子，因为我在这两者之间有点困惑？

Answer 1

Lax 允许在某些跨站点请求上发送 cookie，而 Strict 从不允许在跨站点请求上发送 cookie。

可以跨站点发送 Lax cookie 的情况必须满足以下两个条件:

请求必须是顶级导航。您可以将此视为等同于 URL 栏中显示的 URL 更改时，例如用户单击链接转到另一个站点。

请求方法必须是安全的(例如 GET 或 HEAD，但不是 POST)。

例如:

假设用户在 site-a.com 上并单击链接转到 site-b.com。这是一个跨站点请求。这是一个顶级导航并且是一个 GET 请求，因此 Lax cookie 被发送到 site-b.com。但是，不会发送 Strict cookie，因为它毕竟是跨站点请求。

用户在 site-a.com 上，并且有一个 iframe 在其中加载了 site-b.com。这是一个跨站点请求，但它不是顶级导航(用户仍在 site-a.com 上，即加载 iframe 时 URL 栏不会更改)。因此，无论是 Lax 还是 Strict cookie 都不会发送到 site-b.com。

用户在 site-a.com 上，它向 site-b.com 发布了一个表单。这是一个跨站请求，但是方法(POST)是不安全的。它不符合 Lax cookie 跨站点的标准，因此 Lax 和 Strict cookie 都不会发送到 site-b.com