Spring Security为何将CSRF Cookie的SameSite属性设为None？

• 跨域场景的适配需求：你的前后端运行在localhost不同端口，浏览器会将其判定为不同源（跨域）。根据浏览器的SameSite Cookie规则，Strict或默认的Lax模式下，跨域请求不会携带Cookie。如果XSRF-TOKEN的SameSite不设为None，前端Vue应用将无法获取该Cookie，后续请求也就无法携带CSRF令牌，直接导致Spring Security的CSRF验证失败。

• Spring Security 6的默认逻辑：框架会自动识别跨域场景（比如你已开启CORS配置），为了保证XSRF令牌能在跨域环境中正常传递，会自动将XSRF-TOKEN Cookie的SameSite属性设为None。同时，当SameSite为None时，框架还会自动添加Secure属性（localhost的HTTP环境下，浏览器会特殊允许不带Secure的None属性）。

• SPA集成的设计适配：官方文档针对SPA的CSRF配置，本身就是为跨域场景设计的，Spring Security的默认行为正是为了适配这类场景，确保前后端间的CSRF令牌能正常流转。

如果需要修改该行为，可以通过自定义Cookie配置调整SameSite属性，示例代码如下：

@Bean
public CsrfTokenRepository csrfTokenRepository() {
    CookieCsrfTokenRepository repository = CookieCsrfTokenRepository.withHttpOnlyFalse();
    repository.setCookieCustomizer(cookie -> cookie.sameSite("Lax"));
    return repository;
}

注意：修改为Lax或Strict后，跨域场景下前端可能无法获取Cookie，需根据实际部署场景调整。

内容的提问来源于stack exchange，提问作者charlycou