具有SameSite属性None的Cookie;在Google chrome中通过iframe访问安全时会阻止安全性

时间:2020-08-27 06:14:17

标签: google-chrome google-app-engine cookies samesite

我有一个Google Appengine应用程序(A),可从iframe中的另一个Google Appengine应用程序(B)访问某些内容。此功能已经有一段时间了。浏览器更新后,它突然停止工作。在开发工具中,我收到“由于缺少相同网站属性而阻止Cookie”的消息。但是当我单独访问应用程序时,它可以正常工作。另外,我在开发工具中验证了这两个应用程序中的cookie的samesite属性都设置为none并安全。我已经浏览并阅读了有关此属性的信息,并且我相信此属性的设置可以通过阻止第三方cookie访问来增强安全性,而chrome已将其强制性设置(强制执行此功能)。因此,我不考虑在chrome:// flags中禁用此选项,但是我通过执行此操作进行了检查,它可以正常工作。那么,即使Cookie具有相同的站点属性none且安全,chrome为何仍会阻止iframe内容。由于服务器环境属于appengine(GCP),因此此案例应该是用例的单点登录,因为appengine使用gmail登录名进行身份验证。因此,所有cookie必须将samesite属性设置为none并确保安全。但我不了解在应用A的iframe中阻止第三方Cookie的逻辑。 App A cookie details

App B cookie details

这两个应用程序都部署在Google App Engine中。禁用同一站点的Chrome:// flag#same-site-by-default-cookies可以,但是我不想破坏浏览器的安全性

Google chrome版本:83.0.4103.97(官方内部版本)(64位)

可以帮助我理解我的问题的任何帮助。预先谢谢你。

0 个答案:

没有答案