HTTP请求标头属性路径,域与SameSite

时间:2019-05-14 06:08:42

标签: http security csrf-protection

如果在http响应标头中为站点(例如说a.com)的“ set-cookie”属性“ path”和“ domain”设置为path = /,domain = a.com

路径和域状态的作用- path:请求资源中必须存在的url路径 域:限制将Cookie发送到的主机

设置“ SameSite”属性的作用不是什么?因为用例说明Cookie不会与跨站点请求一起发送。因为cookie范围已经通过路径和域属性限制在同一域中。

will SameSite:宽松覆盖了路径/域施加的限制

1 个答案:

答案 0 :(得分:0)

设置“ SameSite”属性的作用是什么?

这里有2个概念:请求的资源和该请求的发起地。例如,您正在访问a.com,并向b.com发送HTTP请求(通过Ajax或图像加载或超链接等)。在这种情况下,请求的资源是b.com中的数据,而该请求源自a.com

domainpath用于限制cookie可以应用到哪个请求的资源,而SameSite用于限制应该在哪里发起该请求。

例如,如果domainc.com,则无论该请求是否从b.com网站发送,它都不会应用于发送到b.com的请求中。同时,如果SameSiteStrict,只要您不在b.com网站中,对b.com的HTTP请求都不会携带该cookie,即使该“ SameSite-Strict” cookie是domainb.com,而path/

SameSite是否会放宽路径/域所施加的限制?

不。 SameSitedomain/path是两件事。