维持会话时点击劫持仍可行吗？Chrome 2020年更新SameSite Cookie

核心结论：依赖跨站会话维持的传统点击劫持，在当前主流现代浏览器中已经基本无法实现，原因主要围绕Cookie安全策略和iframe限制机制展开：

• SameSite Cookie默认规则的强制推行：Chrome、Firefox、Edge等主流浏览器已将Cookie的默认SameSite属性设为Lax。在这种规则下，跨站iframe发起的请求不会携带登录会话Cookie，自然无法复用原标签页的登录状态。如果网站主动设置了SameSite=Strict，限制会更严格——仅当用户主动访问该站点的顶级页面时才会携带Cookie，任何跨站嵌入（包括iframe）或第三方跳转场景都无法获取会话。
• iframe嵌入的直接限制：绝大多数主流网站都会配置X-Frame-Options（如DENY或SAMEORIGIN）或Content-Security-Policy的frame-ancestors指令，直接禁止自身页面被嵌入到第三方站点的iframe中，从根源上阻断了点击劫持的实施基础。
• SameSite=None的受限场景：只有少数网站会刻意设置SameSite=None; Secure来允许跨站携带Cookie，但该配置要求Cookie必须通过HTTPS传输，且这类网站通常是需要跨站嵌入的合法服务（如第三方支付、登录组件），同时会配套其他安全措施（如CSRF令牌），不会给传统点击劫持留下可乘之机。

你找不到符合要求的测试网站，正是因为当前主流网站都已普及上述安全防护机制，要么无法被嵌入iframe，要么跨站嵌入时无法维持登录会话。

内容的提问来源于stack exchange，提问作者Johnyes