点击外部链接致目标页认证Cookie丢失问题解决咨询

问题根源 #

1. SameSite=Strict的核心限制
   Strict模式的Cookie仅允许同站上下文的请求携带，比如用户直接输入域名、从本站内链接跳转、刷新本站页面等场景。从你的Angular应用（不同域名）点击链接跳转至外部网站属于跨站第三方请求，浏览器会直接拒绝携带该Strict Cookie。

2. 外部网站后端逻辑的误触发
   如果外部网站的后端存在“检测到请求未携带认证Cookie就清除已有Cookie”的逻辑，那么跨站跳转过来的请求（未带Cookie）会触发这个清除操作。由于Cookie是域名级别的，一旦被清除，所有打开该网站的标签页都会失去登录态，这就解释了“再次点击链接时所有标签页Cookie消失”的现象。

3. 跨站启动上下文的异常影响
   从跨站链接打开外部网站后，即使用户在该页面完成登录（此时是同站请求，本应正常设置Cookie），但如果后端在之前的跨站请求中已经触发了Cookie清除，或者浏览器将该标签页标记为“第三方启动”，就会导致登录后刷新页面时，后端再次检测到Cookie异常，进而重复删除Cookie。

解决方案 #

优先协调外部网站调整（最优解） #

如果能联系外部网站的开发团队，建议做以下修改：

• 将Cookie的SameSite属性从Strict改为Lax：Lax模式允许跨站的GET跳转请求携带Cookie，既能兼容从其他网站跳转的场景，又能抵御大部分CSRF攻击，平衡安全性和用户体验。
• 移除“未携带Cookie则清除已有Cookie”的逻辑：仅在用户主动执行登出操作时清除Cookie，避免跨站跳转触发误删。

你的Angular应用端适配方案（无法修改外部网站时） #

• 使用target="_blank"打开链接：让用户在新标签页打开外部网站，登录后的操作均为同站上下文，不会触发跨站清除逻辑。注意添加rel="noopener noreferrer"规避安全风险：

  <a href="外部网站URL" target="_blank" rel="noopener noreferrer">跳转至外部网站</a>
  

• 引导用户手动复制链接打开：在链接旁添加提示，让用户复制URL到新标签页打开，确保启动上下文为同站，Cookie可正常保留。
• JS触发跳转（效果不稳定，仅作备选）：通过JavaScript模拟用户主动跳转，部分浏览器可能识别为同站启动场景，但不保证所有浏览器兼容：

  // Angular组件内的跳转方法
  navigateToExternalSite() {
    window.location.href = '外部网站URL';
  }
  

内容的提问来源于stack exchange，提问作者gbos