【网络安全】Cookie SameSite属性

未经许可，不得转载。

背景

为了有效防止 CSRF 攻击并保护用户隐私，Chrome 从 51 版本开始引入了 SameSite 属性，专门用于限制第三方 Cookie 的使用，进而减少安全风险。

CSRF 攻击

跨站请求伪造（CSRF）攻击是指恶意网站利用用户在其他网站的登录状态，伪造带有正确 Cookie 的请求，执行未授权的操作。

例如，假设用户已登录了银行网站 your-bank.com，并且银行服务器向浏览器发送了一个 Cookie 来保存用户的身份信息：

Set-Cookie:id=a3fWa;

如果用户后来访问了恶意网站 malicious.com，该网站可能会通过一个隐藏的表单向 your-bank.com 发送请求，如下所示：

<form