弃用第三方Cookie改用Token时的iFrame加载认证策略方案

核心方案：启用Partitioned Cookies（后端配置，无需修改iframe代码） #

Partitioned Cookies是浏览器为解决第三方Cookie限制推出的特性，允许跨域iframe中发送同域Cookie，完美匹配你的需求——无需客户修改现有iframe代码，仅需后端配置即可恢复无缝认证。

Rails配置步骤（7.0+版本支持） #

修改config/initializers/session_store.rb，为会话Cookie添加partitioned参数：

Rails.application.config.session_store :cookie_store, 
  key: '_myapp_session',
  secure: Rails.env.production?, # 必须开启HTTPS
  same_site: :none,
  partitioned: true

配置后，用户在myapp.com登录时生成的会话Cookie会被标记为分区Cookie，第三方网站的iframe请求myapp.com/widget时，浏览器会自动发送该Cookie，后端可正常验证用户身份。

注意事项

• 仅支持Chrome 104+、Edge 104+、Firefox 115+等现代浏览器，需为旧浏览器准备兼容方案。
• 必须确保网站使用HTTPS，否则secure: true无法生效，分区Cookie也会被浏览器拒绝。

兼容旧浏览器的备选方案：临时令牌自动流转 #

针对不支持Partitioned Cookies的浏览器，可通过后端生成临时令牌+自动重定向的方式实现认证，同样无需客户修改iframe代码。

Rails后端实现 #

1. 路由配置

Rails.application.routes.draw do
  get 'widget/auth', to: 'widgets#auth'
  get 'widget', to: 'widgets#show'
end

2. 控制器逻辑

class WidgetsController < ApplicationController
  before_action :authenticate_user!, except: [:show, :auth]

  # 第一方上下文验证会话，生成临时令牌
  def auth
    if current_user
      temp_token = SecureRandom.urlsafe_base64
      # 令牌1小时内有效，存储到缓存（Redis/Memcached）
      Rails.cache.write("widget_temp:#{temp_token}", current_user.id, expires_in: 1.hour)
      redirect_to widget_path(token: temp_token)
    else
      redirect_to login_path, alert: "请先登录MyApp"
    end
  end

  # Widget页面认证逻辑
  def show
    @user = nil
    # 优先验证URL参数中的临时令牌
    if params[:token]
      user_id = Rails.cache.read("widget_temp:#{params[:token]}")
      if user_id
        @user = User.find(user_id)
        session[:user_id] = user_id
        Rails.cache.delete("widget_temp:#{params[:token]}") # 令牌一次性使用
      end
    elsif session[:user_id]
      # 兼容Partitioned Cookie场景
      @user = User.find(session[:user_id])
    end

    # 未认证时自动触发重定向
    if @user.nil? && window.top != window.self
      redirect_to widget_auth_url
    end
  end
end

3. 页面自动处理
   在app/views/widgets/show.html.erb中添加轻量JS，自动触发认证流程：

<% if @user.nil? %>
  <script>
    // 仅在iframe上下文触发重定向，避免干扰主站访问
    if (window.top !== window.self) {
      window.location.href = "<%= widget_auth_url %>";
    }
  </script>
<% end %>

流程说明：第三方iframe加载myapp.com/widget时，若未检测到有效会话，会自动跳转到/widget/auth（第一方上下文，可读取用户登录Cookie），验证后携带临时令牌重定向回widget页面，后端验证令牌后建立会话，实现无缝认证。

内容的提问来源于stack exchange，提问作者Greg Peckory