是非黑白·No!
写的比较全面/详细, 赞一个.
> **解决** > 解决方案就是设置 SameSite 为 none 这种方案作为临时性解决方案尚可, 个人认为不是正确的做法, 太过于简单粗暴, 相当于又让Cookies安全回退到最初的状态了, 不可以推广使用. 合理的解决方案简单总结应该是: 1. CSRF Token会话类Cookies设置Strict 2. 默认保持Lax 3. 如果需要cookies追踪等需要第三方站点使用的cookies可以设置为None 临时性解决问题没问题, 但是从技术角度来说, 应该严格按照这个标准来做. > PS: 这个方案更多的是解决一些安全性差的网站和用户, 对于淘宝等大网站而言确属只能属于增益, 因为这种安全防护只是处于客户端层面, 并不是所有用户的客户端都是安全的. 个人的一些看法.
SCAP评估报告样例可见: https://raw.githubusercontent.com/Sep0lkit/Blog/master/posts/_assets/scap/scap-introduce.zip
祝各位老铁们中秋快乐.