第三方开发人员设置的SameSite Cookie

Question

我们有一个像素文件，例如Google Analytics（分析），facebook像素，hotjar像素，这些像素文件分别提供给我们的客户和他们的客户。然后，我们在其域名所在的网站上设置一些Cookie。

我阅读了SameSite Cookie上的this article，并且我了解如果我是第一方的开发人员，则应该使用SameSite：Strict或Lax，不要让像我们这样的第三方读取他们的秘密cookie。但是我找不到在第一方网站上获取并设置已读取Cookie的第三方开发人员的任何资源。

如果第三方开发人员仅想获取和设置第一方的cookie，应该在SameSite cookie中使用什么？

Answer 1

如果我完全理解您的问题，那就很困惑：SameSite关于与其他人共享Cookie的不是。

在任何情况下，由SiteA发出的cookie都只会发送到SiteA。

Google要添加的一项保护措施是区分以下内容：

• SiteA （=同一站点）请求SiteA上的资源（无论SameSite属性值如何，都将发送Cookie）
• SiteB （=另一个站点）请求在SiteA上使用资源（仅当SameSite是Lax时才发送Cookie，或者-在以后的Chrome版本中-Samesite = None; Secure）

因此，如果您提供要包含在另一个站点中的脚本，则cookie必须具有Samesite = Lax属性。

分析脚本就是这种情况，例如提供jQuery的CDN就是这种情况。