cookies - Spring Security 中 session cookie 的同一站点标志

Question

是否可以设置Same-site Cookie Spring Security 中的标志？

如果没有，请问它是否在增加支持的路线图上？某些浏览器(即 Chrome)已经支持。

Answer 1

New Tomcat version通过 TomcatContextCustomizer 支持 SameSite cookie .所以你应该只自定义 tomcat CookieProcessor，例如对于 Spring Boot:

@Configuration
public class MvcConfiguration implements WebMvcConfigurer {
    @Bean
    public TomcatContextCustomizer sameSiteCookiesConfig() {
        return context -> {
            final Rfc6265CookieProcessor cookieProcessor = new Rfc6265CookieProcessor();
            cookieProcessor.setSameSiteCookies(SameSiteCookies.NONE.getValue());
            context.setCookieProcessor(cookieProcessor);
        };
    }
}

对于 SameSiteCookies.NONE请注意，cookie 也是 Secure (使用 SSL)，否则无法应用。
默认情况下，Chrome 80 cookie 被视为 SameSite=Lax !
见 SameSite Cookie in Spring Boot和 SameSite cookie recipes .

对于 nginx 代理，它可以在 nginx 配置中轻松解决:

if ($scheme = http) {
    return 301 https://$http_host$request_uri;
}

proxy_cookie_path / "/; secure; SameSite=None";