Làm thế nào tự động thuộc tính SameSite được thêm vào cookie Asp.net_SessionID của tôi?

Gần đây samesite = lax tự động thêm vào cookie phiên của tôi! thuộc tính này chỉ cần thêm vào sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Trang web của tôi được lưu trữ trên IIS 8.5, Windows 2012 R2 và không có WAF hoặc UrlRewrite và tôi tắt AntiVirus (kasper).

nhưng vẫn có vấn đề tương tự trên một số máy chủ của khách hàng.

bất kỳ ý tưởng?

EDITED: Tôi tìm thấy cái này: https://support.microsoft.com/en-us/help/4524419/kb4524419

Bây giờ ASP.NET sẽ phát ra một tiêu đề cookie SameSite khi giá trị httpCookie.SameSite là 'Không' để điều chỉnh các thay đổi sắp tới đối với việc xử lý cookie SameSite trong Chrome. Là một phần của thay đổi này, cookie FormsAuth và SessionState cũng sẽ được phát hành với SameSite = 'Lax' thay vì mặc định trước đó là 'Không', mặc dù các giá trị này có thể được ghi đè trong web.config.

Làm cách nào tôi có thể ghi đè cookie samesite cho SessionState trong web.config? tôi thêm dòng này, nhưng nó không hoạt động trên cookie SessionID! <httpCookies sameSite="Unspecified" />

EDITED: Tôi tìm thấy cái này: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Đặt samesite cho máy chủ chính sách theo thuộc tính "cookieSameSite" của thẻ SessionState.

Thêm các tùy chọn này vào web.config cho sameSite = Không, Lax hoặc Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Tôi không thể sử dụng viết lại, vì UrlRewrite không được cài đặt trên tất cả các máy chủ của khách hàng.

Cuối cùng tôi thêm cookieSameSite vào web.config:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

Thuộc tính CookieSameSite không có sẵn cho nhiều khung cũ hơn. Nếu bạn đang ở trong tình huống mà câu trả lời được chấp nhận không được hỗ trợ trong môi trường của bạn, hãy đọc tiếp!

Tôi đã sửa đổi một số câu trả lời SO để đưa ra cách viết lại URL này để thêm SameSite=Nonevào cookie phiên và cũng xóa SameSite=Nonekhỏi tất cả các cookie cho hầu hết các trình duyệt không tương thích. Mục đích của việc viết lại này là để duy trì hành vi "di sản" trước Chrome 80.

Viết đầy đủ trong blog Coder Frontline của tôi :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Điều này sẽ hoạt động đối với hầu hết các ứng dụng ASP .Net và ASP .Net Core, mặc dù các Framework mới hơn có các tùy chọn cấu hình và mã phù hợp để cho phép bạn kiểm soát hành vi này. Tôi sẽ khuyên bạn nên nghiên cứu tất cả các tùy chọn có sẵn cho bạn trước khi sử dụng viết lại của tôi ở trên.

Cập nhật lần cuối: câu trả lời của zemien toàn diện và đầy đủ hơn câu trả lời của tôi. bởi vì nó đặt cookie dựa trên tác nhân người dùng.

Câu trả lời của tôi:

Bạn có thể thay thế SameSite = Lax bằng SameSite = Không có cho ASP.NET_SessionId trong web.config theo cách sau:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Cập nhật: Để ngăn sự cố iOS , thay thế

<action type="Rewrite" value="{R:1};SameSite=None" />

với

<action type="Rewrite" value="{R:1};" />

@zemien giải pháp của bạn đã giải quyết chính xác các vấn đề về Google Chrome của chúng tôi

Chúng tôi có một tích hợp trong đó ứng dụng của chúng tôi được nhúng trong iframe trên bên thứ ba. Chrome phiên bản 80 phát hành ngày 4 tháng 2 năm 2020 đã ngăn cookie tải.

Tuy nhiên, tôi đã phải sửa đổi mẫu để chụp tất cả cookie, thêm cờ Bảo mật và điều kiện để không áp dụng ghi lại trên localhost cho môi trường không https cục bộ của chúng tôi

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Làm việc cho tôi. Đã thêm vào tệp web.config của tôi:

<sessionState cookieSameSite="None"></sessionState>

Nâng cấp lên bản vá cài đặt .Net Framework 4.8 +: Cập nhật tích lũy 2019-12 cho .NET Framework 3.5 và 4.8 cho Windows 10 Phiên bản 1909 cho x64 (KB4533002)