Chrome 80 SameSite

 

新项目要嵌入之前的一个项目，而且该被嵌入项目之前提供给第三方使用，他们也是用的iframe。以前都是好的，但是现在发现要是iframe的地址和父级的地址不同源，项目登录时无法设置cookie。

 

一开始以为后端出问题了，后来换火狐、ie edge 都是可以的，并且其他人的Chrome也有可以用的。

 

并且接口设置cookie时提示：“this set-cookie didnot specify a "sameSite" attribute and was defaulted to "sameSite=Lax" and broke the same rules specified in the SameSiteLax value”。

 

从Chrome 51开始，浏览器的Cookie新增加了一个SameSite属性，用来防止CSRF攻击和用户追踪。

该设置当前默认是关闭的，但在Chrome 80之后，该功能默认已开启。

 

所以当你无法使用某些网站第三方登录功能的时候，请查看一下是否受到了该设置的影响。

 

对于使用者，快速解决方案：

方案1. 打开Chrome设置，将chrome://flags/#same-site-by-default-cookies禁用，然后重启浏览器。

 

package org.pentaho.platform.web.http.filters;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;

public class SameSiteNoneFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        chain.doFilter(request, new SameSiteNoneHttpServletResponseWrapper((HttpServletResponse) response));
    }

    @Override
    public void destroy() {
    }
}

 

...

package org.pentaho.platform.web.http.filters;


import java.io.IOException;
import java.io.PrintWriter;
import java.util.Collection;

import javax.servlet.ServletOutputStream;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpServletResponseWrapper;
import javax.ws.rs.core.HttpHeaders;

public class SameSiteNoneHttpServletResponseWrapper extends HttpServletResponseWrapper {

    private final HttpServletResponse response;

    public SameSiteNoneHttpServletResponseWrapper(HttpServletResponse response) {
        super(response);
        this.response = response;
    }

    @Override
    public void sendRedirect(String location) throws IOException {
        addSameSiteCookieAttribute();
        super.sendRedirect(location);
    }

    @Override
    public void sendError(int sc) throws IOException {
        addSameSiteCookieAttribute();
        super.sendError(sc);
    }

    @Override
    public void sendError(int sc, String msg) throws IOException {
        addSameSiteCookieAttribute();
        super.sendError(sc, msg);
    }

    @Override
    public PrintWriter getWriter() throws IOException {
        addSameSiteCookieAttribute();
        return super.getWriter();
    }

    @Override
    public ServletOutputStream getOutputStream() throws IOException {
        addSameSiteCookieAttribute();
        return super.getOutputStream();
    }

    private void addSameSiteCookieAttribute() {
        Collection<String> headers = this.response.getHeaders(HttpHeaders.SET_COOKIE);
        boolean firstHeader = true;
        for (String header : headers) { // there can be multiple Set-Cookie attributes
            String flags;
            if (header.contains("Secure;")) {
                flags = "SameSite=None";
            } else {
                flags = "Secure; SameSite=None";
            }
            if (firstHeader) {
                this.response.setHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s", header, flags));
                firstHeader = false;
                continue;
            }
            this.response.addHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s", header, flags));
        }
    }
}

 

web.xml

  <filter>
    <filter-name>SameSite Filter</filter-name>
    <filter-class>org.pentaho.platform.web.http.filters.SameSiteNoneFilter</filter-class>
  </filter>

  <filter-mapping>
    <filter-name>SameSite Filter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

 

...