Chrome 80允许不安全的SameSite =无cookie

Question

我最近升级到Chrome 80，并为chrome://flags中的cookie启用了新的SameSite策略。在本地开发时，我的服务器框架已设置为发出带有SameSite=None属性的身份验证cookie。我暂时没有启用SSL。

现在我想知道，Chrome浏览器为什么会允许这些，因为如果我正确地理解了该政策，那么无论环境如何，所有SameSite=None cookie都必须是安全的？

Answer 1

是的，您只能将SameSite=None设置为Secure。因此，我认为如果您的开发环境中没有SSL，则不应设置这两个属性。

新行为来自两者：

• chrome://flags/#same-site-by-default-cookies
• 和 chrome://flags/#cookies-without-same-site-must-be-secure

您可以检查您的浏览器是否在https://samesite-sandbox.glitch.me上强制执行完整的行为