设置为SameSite=none的认证Cookie会自动传递到下一个网站吗？

1. webshopB的服务器日志里不会看到你来自webshopA的认证Cookie #

直接在地址栏输入webshopB域名并访问，属于用户主动发起的顶级导航，这种场景下：

• Cookie是和域名强绑定的，webshopA的Cookie只会被浏览器发送给webshopA的服务器，和webshopB完全无关，不管这个Cookie的SameSite设置是None还是其他值。
• SameSite=None的作用是允许跨站请求时携带Cookie，但这里的跨站请求指的是：从webshopA的页面点击链接跳转到webshopB、或者webshopB的页面里加载webshopA的资源（比如图片、接口）这类场景——而且即便是这种场景，Cookie也是发送给webshopA的服务器，不是webshopB的。

2. 你的理解存在偏差，非恶意的webshopB拿不到你的隐私信息 #

需要明确几个核心规则：

• 浏览器只会把对应域名的Cookie发给对应域名的服务器，webshopB的服务器永远收不到webshopA的Cookie，这是浏览器的基础安全机制，和SameSite设置无关。
• SameSite=None的风险场景是：你登录webshopA后，打开了webshopB的页面，而webshopB主动调用了webshopA的敏感接口（比如查询你的订单），这时候浏览器会把webshopA的SameSite=None Cookie发给webshopA的服务器，如果webshopA的接口没有额外校验，就会返回你的数据给webshopB。但这种情况是webshopB主动发起了对webshopA的请求，而不是你直接访问webshopB就会泄露。
• 回到你的场景：你只是直接输入webshopB的地址，webshopB的页面没有触发任何对webshopA的请求，所以你的webshopA认证Cookie根本不会被发送，自然也不会被webshopB获取到。

内容的提问来源于stack exchange，提问作者Johnes