Cookies 的 SameSite 属性详解：Lax、Strict 与 None 在跨站场景的表现

Cookies 的 SameSite 属性详解：Lax、Strict 与 None 在跨站场景的表现

大家好，欢迎来到今天的讲座。我是你们的技术讲师，今天我们来深入探讨一个在现代 Web 安全中非常关键的概念——Cookies 的 SameSite 属性。如果你曾经遇到过“为什么登录状态在跨站请求时失效？”、“为什么某些接口被浏览器拦截了？”这类问题，那么你很可能就是遇到了 SameSite 的作用机制。

---

一、什么是 SameSite？

在讲解具体值之前，我们先明确一个基本概念：

SameSite 是 HTTP Cookie 的一个属性（Attribute），用于控制浏览器是否在跨站请求中发送该 Cookie。
它是防止 CSRF（跨站请求伪造）攻击的重要手段之一。

背景知识补充：

• 浏览器默认会将 Cookie 自动附加到所有同源或跨站的 HTTP 请求中（包括<img>、<a>、<form>等发起的请求）。
• 这种行为虽然方便开发，但也带来了严重的安全隐患：攻击者可以诱导用户点击恶意链接，从而利用用户的登录态执行非法操作（比如转账、修改密码等）。

SameSite 就是用来限制这种自动携带 Cookie 的行为，让开发者能更精细地控制哪些情况下应该发送 Cookie。

---

二、SameSite 的三个取值及其表现