Rails应用启用SameSite=Strict会话Cookie同时兼容OAuth登录方案

一、让OAuth登录适配SameSite: Strict #

OAuth跳转触发CSRF错误的核心原因是：使用SameSite: Strict时，浏览器从第三方OAuth服务商（如Google）重定向回应用时，不会携带会话Cookie，导致无法验证CSRF令牌。可以通过临时切换会话Cookie的SameSite策略解决：

• 发起OAuth请求前，将管理员会话的SameSite临时改为Lax，确保跳转后Cookie能被携带；
• 登录完成后，恢复为Strict以保持安全性。

代码实现 #

1. 新增OAuth发起的控制器动作，用于临时修改会话配置：

# app/controllers/admin/sessions_controller.rb
class Admin::SessionsController < ApplicationController
  def google_oauth_init
    # 临时切换会话SameSite为Lax
    request.session_options[:same_site] = :lax
    # 跳转到Google OAuth授权页
    redirect_to '/auth/google_oauth2'
  end

  def google_oauth_callback
    # 处理Google OAuth回调逻辑（验证用户、创建会话等）
    user = AdminUser.from_omniauth(request.env['omniauth.auth'])
    if user.present?
      sign_in(user)
      # 登录完成后恢复SameSite为Strict
      request.session_options[:same_site] = :strict
      redirect_to admin_dashboard_path, notice: '登录成功'
    else
      redirect_to admin_login_path, alert: '登录失败'
    end
  end
end

2. 更新路由，指向自定义的发起动作：

# config/routes.rb
namespace :admin do
  get 'sessions/google_oauth_init', to: 'sessions#google_oauth_init'
  get 'auth/google_oauth2/callback', to: 'sessions#google_oauth_callback'
end

注意：确保生产环境下已开启secure: true，这是SameSite Strict生效的前提，同时符合资金交易场景的安全要求。

二、Rails配置双会话Cookie（Strict/Lax分场景） #

如果需要彻底隔离管理员与客户的会话策略，可以通过自定义中间件实现不同路由组使用不同的会话Cookie，分别设置Strict和Lax：

步骤1：全局配置默认会话（客户端，Strict） #

# config/initializers/session_store.rb
Rails.application.config.session_store :cookie_store,
  key: '_customer_app_session',
  same_site: :strict,
  secure: Rails.env.production?,
  httponly: true

步骤2：创建自定义中间件处理管理员会话 #

# app/middleware/admin_session_config.rb
class AdminSessionConfig
  def initialize(app)
    @app = app
  end

  def call(env)
    request = Rack::Request.new(env)
    # 匹配管理员路由前缀
    if request.path.start_with?('/admin')
      # 为管理员会话单独设置Cookie key和SameSite策略
      env['rack.session.options'] ||= {}
      env['rack.session.options'][:key] = '_admin_app_session'
      env['rack.session.options'][:same_site] = :lax
      env['rack.session.options'][:secure] = Rails.env.production?
      env['rack.session.options'][:httponly] = true
    end
    @app.call(env)
  end
end

步骤3：注册中间件 #

# config/application.rb
module YourAppName
  class Application < Rails::Application
    # ...其他配置
    # 在默认会话中间件之前插入自定义中间件
    config.middleware.insert_before ActionDispatch::Session::CookieStore, AdminSessionConfig
  end
end

效果说明 #

• 客户端路由（非/admin开头）使用_customer_app_session Cookie，SameSite为Strict，保障资金交易的CSRF防护；
• 管理员路由（/admin开头）使用_admin_app_session Cookie，SameSite为Lax，完美兼容OAuth跳转流程；
• 两个会话完全隔离，互不干扰，提升整体安全性。

内容的提问来源于stack exchange，提问作者Apurva Nagar