【网络安全】Cookie SameSite属性
未经许可，不得转载。
文章目录
-
- 背景
- CSRF 攻击
- SameSite 属性
-
- Strict
- Lax
- None
背景
为了有效防止 CSRF 攻击并保护用户隐私，Chrome 从 51 版本开始引入了 SameSite 属性，专门用于限制第三方 Cookie 的使用，进而减少安全风险。
CSRF 攻击
跨站请求伪造（CSRF）攻击是指恶意网站利用用户在其他网站的登录状态，伪造带有正确 Cookie 的请求，执行未授权的操作。
例如，假设用户已登录了银行网站 your-bank.com，并且银行服务器向浏览器发送了一个 Cookie 来保存用户的身份信息：
Set-Cookie:id=a3fWa;
如果用户后来访问了恶意网站 malicious.com，该网站可能会通过一个隐藏的表单向 your-bank.com 发送请求，如下所示：
<form