Cookie的SameSite属性疑问：.NET Core与ReactJS跨场景适配咨询

先明确核心规则：SameSite.Strict 仅会在完全同站的请求中携带Cookie，浏览器判定同站的标准是协议、域名、端口三者完全一致。结合.NET Core API给React前端设置Cookie的场景，三个情况的结论如下：

• 同机器不同端口：不可行
  比如React跑在localhost:3000，API跑在localhost:5000，二者端口不同，浏览器会判定为跨站请求，SameSite.Strict的Cookie不会被携带到API请求中。

• 不同机器：不可行
  不同机器对应不同的IP或域名，属于典型跨站场景，SameSite.Strict模式下Cookie绝对不会被发送。

• 同机器不同端口、同域名不同子域名：不可行
  不管是端口不一致，还是子域名不同（比如app.yourdomain.com和api.yourdomain.com），都不满足Strict要求的完全同站条件，浏览器不会携带该Cookie。

如果需要在这些跨场景下传递Cookie，你需要根据实际情况调整SameSite属性：

• 若为导航类跨站请求（比如页面跳转），可以使用SameSite.Lax；
• 若为AJAX这类跨域请求，需要设置SameSite.None，同时必须开启HTTPS并给Cookie加上Secure属性。

内容的提问来源于stack exchange，提问作者Ceased