Safari không gửi cookie ngay cả sau khi cài đặt SameSite = Không; Đảm bảo

Ứng dụng của chúng tôi sử dụng cookie để ghi nhớ đăng nhập của người dùng. Mỗi cuộc gọi API xác thực chúng tôi thực hiện, trình duyệt sẽ đính kèm cookie HTTPonly do máy chủ đặt với yêu cầu API và được xác thực. Hành vi này dường như bị phá vỡ trong safari sau khi Mojave phát hành.

Tôi đã đọc về bảo mật cookie giữa các trang web được thực hiện bởi safari và nhóm máy chủ của chúng tôi đã thêm SameSite=None;Securetrong khi đặt cookie. Ngay cả sau đó, nó vẫn không hoạt động.

Set-Cookie: my_cookie=XXXXX; path=/; secure; HttpOnly; SameSite=None

Vui lòng tư vấn hoặc cung cấp liên kết từ những người thực sự tìm thấy giải pháp ..

Các phiên bản Safari trên MacOS 10.14 và tất cả các trình duyệt trên iOS 12 đều bị ảnh hưởng bởi lỗi này, điều đó có nghĩa SameSite=Nonelà bị xử lý sai như SameSite=Strict, ví dụ như cài đặt hạn chế nhất.

Tôi đã xuất bản một số hướng dẫn trong công thức nấu ăn cookie SameSite trên một trong hai:

• Sử dụng hai bộ cookie để tính đến các trình duyệt hỗ trợ SameSite=None; Securevà các trình duyệt không hỗ trợ .
• Đánh hơi tác nhân người dùng cho các trình duyệt không tương thích và không phục vụ SameSite=Nonecho các yêu cầu đó.

Đối với các ứng dụng được mã hóa bằng Ruby (cụ thể là Rails, Sinatra hoặc bất cứ thứ gì trên đỉnh Rack), đá quý RailsSameSiteCookie giải quyết vấn đề này và các vấn đề liên quan khá độc đáo. Mã này đọc giống như một bản dịch gần mã giả trong cuộc thảo luận về Chromium mà không có regex giòn.