Chrome 扩展程序中的 SameSite 警告

Question

我们正在开发 Chrome 扩展程序

1. 从没有设置SameSite属性的域中读取 cookie
2. 将 cookie 写入没有SameSite属性的域

我们在manifest.json 中添加了两个域的权限

我们在 Chrome 浏览器中启用了以下标志，

• SameSite 默认 cookie
• 启用删除 SameSite=None cookie
• 没有 SameSite 的 Cookie 必须是安全的

问题

1. 即使在启用这些标志后，我们也可以从其他域读取使用以下值设置的 cookie。 这是预期的，如果是，为什么？

   • 没有SameSite属性
   • 使用SameSite=strict

2. 假设一个扩展在域 X.com 的站点中设置了没有SameSite属性的 cookie。 当网站 (X.com) 处于

   • 另一个扩展通过iframe使用
   • 由域为 Y.com 的另一个站点通过iframe使用。 在这两种情况下，cookie 都会与响应一起呈现吗？

3. 来自扩展的请求是否被视为跨站点请求？

4. 由域中的扩展设置的 cookie 如何表现？ 这与来自不同域的网站设置 cookie 时发生的情况类似吗？

5. 对manifest.json 中的域具有权限的扩展是否能够从其他域读取 cookie，而不管SameSite值如何？

Answer 1

你好，我很确定这不会起作用，因为 chrome 扩展程序在 cookie 存储区之外运行的方式。 它将无法读取/写入这些值..