Cookie Security: Missing SameSite Attribute

程序无法在会话 Cookie 上设置 SameSite 属性。

浏览器会自动将 Cookie 附加到对设置 Cookie 的站点发出的每个 HTTP 请求中。Cookie 可能存储敏感数据，例如会话 ID 和授权令牌，或者在会话期间对同一站点的不同请求之间共享的站点数据。攻击者可以通过从客户机上加载的第三方网站页面生成对已验证站点的请求来执行模拟攻击，因为浏览器会自动将 Cookie 附加到请求中。

SameSite 属性限制了 Cookie 的作用域，因此只有当请求是从第一方或同一站点上下文生成时，才会将 Cookie 附加到请求。这样有助于保护 Cookie 免受 Cross-Site Request Forgery (CSRF) 攻击。SameSite 属性可以有以下三个值：

- Strict：当设置为 Strict 时，Cookie 仅在顶级导航时与请求一起发送。
- Lax：当设置为 Lax 时，Cookie 随同一主机顶级导航时的请求以及来自第三方站点的 GET 请求一起发送，包括那些具有链接到主机站点的 iframe 或 href 标签的请求。如果用户点击链接，请求将包含 Cookie。
- None：Cookie 随对 Cookie 设置的路径和域范围内的站点的所有请求一起发送。因使用 POST 方法提交表单而生成的请求也可以随请求一起发送 Cookie。

示例 1：以下代码将对会话 Cookie 禁用 SameSite 属性。

    ...
    CookieOptions opt = new CookieOptions()
    {
        SameSite = SameSiteMode.None;
    };
    context.Response.Cookies.Append("name", "Foo", opt);
    ...

程序无法在会话 Cookie 上设置 SameSite 属性。

浏览器会自动将 Cookie 附加到对设置 Cookie 的站点发出的每个 HTTP 请求中。Cookie 可能存储敏感数据，例如会话 ID 和授权令牌，或者在会话期间对同一站点的不同请求之间共享的站点数据。攻击者可以通过从客户机上加载的第三方网站页面生成对已验证站点的请求来执行模拟攻击，因为浏览器会自动将 Cookie 附加到请求中。

SameSite 属性限制了 Cookie 的作用域，因此只有当请求是从第一方或同一站点上下文生成时，才会将 Cookie 附加到请求。这样有助于保护 Cookie 免受 Cross-Site Request Forgery (CSRF) 攻击。SameSite 属性可以有以下三个值：

- Strict：当设置为 Strict 时，Cookie 仅在顶级导航时与请求一起发送。
- Lax：当设置为 Lax 时，Cookie 随顶级导航与从第三方站点发送到主机的 GET 请求一起从同一主机发送。例如，假设第三方站点拥有链接到主机站点的 iframe 或 href 标签。如果用户点击链接，请求将包含 Cookie。
- None：Cookie 随对 Cookie 设置的路径和域范围内的站点的所有请求一起发送。因使用 POST 方法提交表单而生成的请求也可以随请求一起发送 Cookie。

示例 1：以下代码将对会话 Cookie 禁用 SameSite 属性。

c := &http.Cookie{
  Name: "cookie",
  Value: "samesite-none",
  SameSite: http.SameSiteNoneMode,
}

程序无法在会话 Cookie 上设置 SameSite 属性。

浏览器会自动将 Cookie 附加到对设置 Cookie 的站点发出的每个 HTTP 请求中。Cookie 可能存储敏感数据，例如会话 ID 和授权令牌，或者在会话期间对同一站点的不同请求之间共享的站点数据。攻击者可以通过从客户机上加载的第三方网站页面生成对已验证站点的请求来执行模拟攻击，因为浏览器会自动将 Cookie 附加到请求中。

SameSite 属性限制了 Cookie 的作用域，因此只有当请求是从第一方或同一站点上下文生成时，才会将 Cookie 附加到请求。这样有助于保护 Cookie 免受 Cross-Site Request Forgery (CSRF) 攻击。SameSite 属性可以有以下三个值：

- Strict：当设置为 Strict 时，Cookie 仅在顶级导航时与请求一起发送。
- Lax：当设置为 Lax 时，Cookie 随同一主机顶级导航时的请求以及来自第三方站点的 GET 请求一起发送，包括那些具有链接到主机站点的 iframe 或 href 标签的请求。例如，假设第三方站点拥有链接到主机站点的 iframe 或 href 标签。如果用户点击链接，请求将包含 Cookie。
- None：Cookie 随对 Cookie 设置的路径和域范围内的站点的所有请求一起发送。因使用 POST 方法提交表单而生成的请求也可以随请求一起发送 Cookie。

示例 1：以下代码将对会话 Cookie 禁用 SameSite 属性。

app.get('/', function (req, res) {
    ...
    res.cookie('name', 'Foo', { sameSite: false });
    ...
}

程序无法在会话 Cookie 上设置 SameSite 属性。

浏览器会自动将 Cookie 附加到对设置 Cookie 的站点发出的每个 HTTP 请求中。Cookie 可能存储敏感数据，例如会话 ID 和授权令牌，或者在会话期间对同一站点的不同请求之间共享的站点数据。攻击者可以通过从客户机上加载的第三方网站页面生成对已验证站点的请求来执行模拟攻击，因为浏览器会自动将 Cookie 附加到请求中。

SameSite 属性限制了 Cookie 的作用域，因此只有当请求是从第一方或同一站点上下文生成时，才会将 Cookie 附加到请求。这样有助于保护 Cookie 免受 Cross-Site Request Forgery (CSRF) 攻击。SameSite 属性可以有以下三个值：

- Strict：当设置为 Strict 时，Cookie 仅在顶级导航时与请求一起发送。
- Lax：当设置为 Lax 时，Cookie 随顶级导航与从第三方站点发送到主机的 GET 请求一起从同一主机发送。例如，假设第三方站点拥有链接到主机站点的 iframe 或 href 标签。如果用户点击链接，请求将包含 Cookie。
- None：Cookie 随对 Cookie 设置的路径和域范围内的站点的所有请求一起发送。因使用 POST 方法提交表单而生成的请求也可以随请求一起发送 Cookie。

示例 1：以下代码将对会话 Cookie 禁用 SameSite 属性。

ini_set("session.cookie_samesite", "None");

程序无法在会话 Cookie 上设置 SameSite 属性。

浏览器会自动将 Cookie 附加到对设置 Cookie 的站点发出的每个 HTTP 请求中。Cookie 可能存储敏感数据，例如会话 ID 和授权令牌，或者在会话期间对同一站点的不同请求之间共享的站点数据。攻击者可以通过从客户机上加载的第三方网站页面生成对已验证站点的请求来执行模拟攻击，因为浏览器会自动将 Cookie 附加到请求中。

samesite 参数限制了 Cookie 的作用域，因此只有当请求是从第一方或同一站点上下文生成时，才会将 Cookie 附加到请求。这样有助于保护 Cookie 免受 Cross-Site Request Forgery (CSRF) 攻击。samesite 参数可以有以下三个值：

- Strict：当设置为 Strict 时，Cookie 仅在顶级导航时与请求一起发送。
- Lax：当设置为 Lax 时，Cookie 随顶级导航与从第三方站点发送到主机的 GET 请求一起从同一主机发送。例如，假设第三方站点拥有链接到主机站点的 iframe 或 href 标签。如果用户点击链接，请求将包含 Cookie。
- None：Cookie 随对 Cookie 设置的路径和域范围内的站点的所有请求一起发送。因使用 POST 方法提交表单而生成的请求也可以随请求一起发送 Cookie。

示例 1：以下代码将对会话 Cookie 禁用 SameSite 属性。

  response.set_cookie("cookie", value="samesite-none", samesite=None)