google-chrome - Chrome 80 允许不安全的 SameSite=None cookie

Question

我最近升级到 Chrome 80 并在 chrome://flags 中为 cookie 启用了新的 SameSite 策略.在本地开发时，我的服务器框架设置为使用 SameSite=None 发出身份验证 cookie。属性。目前我没有启用 SSL。

现在我想知道，Chrome 怎么会允许这些，因为，如果我正确理解了政策，所有 SameSite=None无论环境如何，cookie 都必须是安全的？

Answer 1

是的，您将只能设置 SameSite=None与 Secure .因此，我认为如果您的开发环境中没有 SSL，则不应设置这些属性中的任何一个。

新行为来自以下两个方面:

chrome://flags/#same-site-by-default-cookies

和 chrome://flags/#cookies-without-same-site-must-be-secure

您可以在 https://samesite-sandbox.glitch.me 上检查您的浏览器是否强制执行完整行为。