如何在 samesite=strict 时将 cookie 传递给第三方，这是谷歌浏览器版本 91 之后的默认行为

Question

我有一个 Web 应用程序，我们正在调用第三方来处理一些数据。 完成后，第三方将重定向回我的应用程序（这是一个重定向后）。 为了保持会话，我们使用了 cookie。 在谷歌浏览器更新后，samesite=Lax 的默认值，我已经更新了我们的 cookie 以作为 samesite=None 传递； 安全地克服这个问题。 现在在 google chrome 91 版之后，这个实现不起作用，我遇到了会话到期问题。 有人可以帮助解决谷歌浏览器 91 及更高版本的这个问题吗？ 我正在使用 java

Answer 1

我们能够提出的最好的方法是客户端元刷新。 当第三方回发到我们的应用程序时，我们有一个页面过滤器将其发送到类似于https://www.w3.org/TR/WCAG20-TECHS/H76.html的“refreshMeta”页面。 这必须在没有在任何地方调用 .getSession() 的情况下发生，因为这将导致创建一个新会话。 这会导致页面在浏览器中刷新并将所有原始 cookie 发送回服务器，因为它来自同一域并且未创建新会话。

我会说这有一段时间了，但看起来 Tomcat 中发生了变化，阻止了这种方法像在早期版本中那样工作，这就是为什么我要重新寻找另一种解决方案。