最近在我的项目中遇到了一个问题，我的项目里有一个受权页面是在快手页面进行受权的，这个受权页面放在了iframe当中来做。客户反馈关上受权页面之后，快手间接进入登录界面，而且在里面的页面曾经登录的也被革除掉登录状态进入登录页面了。
问题剖析
首先在本人的页面点击受权发现没有问题，在共事的电脑上却呈现同样的问题。而且都是chrome 84，win10零碎。
发现在控制台有这样几条信息：
A cookie associated with a cross-site resource at http://kuaishou.com/ was set without the `SameSite` attribute. It has been blocked, as Chrome now only delivers cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.{loginUrl: "https://ad-login.e.kuaishou.com?sid=kuaishou.ad.ds…owUrl%3Dhttp%253A%252F%252Fad.e.kuaishou.com%252F", result: 109, error_msg: "网络连接失败，请刷新以后页面。"}看到快手在受权中应用了不通的几个域名，而后在外面获取不到登录信息。想起来2月份看到说chrome不反对第三方cookie的事件。然而还不能确定，因为在我的电脑上也有这条信息。
搜了搜iframe外面怎么设置反对第三方cookie获取的办法，然而没有找到。
只能是服务端设置：SameSite=None; Secure 才能够。因为是第三方的页面，所以也搞不了。
让共事在浏览器关上 chrome://flags/#same-site-by-default-cookies, 找到SameSite by default cookies设置为Disable，从新测试发现受权页面能够失常拜访。确认是没有获取到第三方cookie的问题。
最初就只能把iframe给去掉了，换成失常页面跳转的受权流程了。
Chrome 80变动当前收到的影响
Chrome 80默认把SameSite改为Lax。SameSite有上面三种值：
- Strict 仅容许一方申请携带 Cookie，即浏览器将只发送雷同站点申请的 Cookie，即以后网页 URL 与申请指标 URL 完全一致。
- Lax 容许局部第三方申请携带 Cookie
- None 无论是否跨站都会发送 Cookie
从None改成Lax到底影响了哪些地方的Cookie发送呢？
| 申请类型 | 示例 | Chrome 80 以前 | Strict | Lax | None |
|---|---|---|---|---|---|
| 链接 | <a href="..."></a> | 发送Cookie | 不发送 | 发送Cookie | 发送Cookie |
| 预加载 | <link rel="prerender" href="..."/> | 发送Cookie | 不发送 | 发送Cookie | 发送Cookie |
| get 表单 | <form method="GET" action="..."> | 发送Cookie | 不发送 | 发送Cookie | 发送Cookie |
| post 表单 | <form method="POST" action="..."> | 发送Cookie | 不发送 | 不发送 | 发送Cookie |
| iframe | <iframe src="..."></iframe> | 发送Cookie | 不发送 | 不发送 | 发送Cookie |
| AJAX | $.get("...") | 发送Cookie | 不发送 | 不发送 | 发送Cookie |
| Image | <img src="..."> | 发送Cookie | 不发送 | 不发送 | 发送Cookie |
能够看到，Post表单、iframe、AJAX、Image在新的浏览器版本中都从以前的跨站会发送第三方Cookie变成了不发送。应用iframe、AJAX的时候肯定要留神，很可能会受到影响。
如果要在服务端设置SameSite=none属性的话要留神两点：
- HTTP接口不反对
SameSite=none， 如果要加SameSite=none，在Cookie上必须同时加上Secure属性，示意在HTTPS协定下该Cookie才会被发送。这个能够通过Nginx做一下转发解决达到Http中获取的目标。 - 须要UA检测，局部老的浏览器不能增加SameSite=none
在一些老的浏览器中，会把SameSite=none辨认成SameSite=Strict，所以服务端须要在Set-Cookie时进行User-Agent检测判断是否设置SameSite=none
参考链接
- Chrome's Changes Could Break Your App: Prepare for SameSite Cookie Updates
- Cookie 的 SameSite 属性