Chrome第三方Cookie淘汰后，Dynamics 365集成SPA的Cookie问题求助

我通过Channel Integration Framework（CIF）在Dynamics 365中集成了一个单页应用（SPA），使用Google Chrome浏览器，该应用依赖Cookie维持用户会话。但Google宣布2024年第一季度将逐步淘汰第三方Cookie支持，我的应用在Dynamics 365中属于第三方应用，无法脱离Cookie运行。

我通过在Chrome中访问chrome://flags/#test-third-party-cookie-phaseout并启用「Test Third Party Cookie Phaseout」模拟了第三方Cookie淘汰场景，此时我的应用无法正常显示。

我尝试了官方推荐的CHIPS（Cookies Having Independent Partitioned State）方案，在ASP.NET Web API中为「Set-Cookie」头添加「Partitioned」属性，但未生效，代码如下：

string setCookieHeader = Response.Headers["Set-Cookie"];

if (!string.IsNullOrEmpty(setCookieHeader))
{
    setCookieHeader += ";Partitioned";
    Response.Headers["Set-Cookie"] = setCookieHeader;
}

我怀疑问题源于Dynamics 365通过<iframe>加载我的应用，但我无法控制该<iframe>的创建。请问在Dynamics 365中CHIPS方案无效时，该如何解决此问题？

1. 补全CHIPS的必要配置 #

你的CHIPS实现可能缺少关键属性，导致未生效：

• CHIPS要求Cookie必须同时设置SameSite=None和Secure属性，且仅在HTTPS环境下有效。建议直接在创建Cookie时配置所有属性，避免修改已生成的Header被覆盖：

  // .NET 7+版本可直接使用内置Partitioned属性
  var cookieOptions = new CookieOptions
  {
      SameSite = SameSiteMode.None,
      Secure = true,
      Partitioned = true,
      HttpOnly = true,
      Expires = DateTimeOffset.UtcNow.AddHours(1)
  };
  Response.Cookies.Append("SessionId", "your-session-value", cookieOptions);
  
  // 低版本.NET需手动拼接Header
  Response.Headers.Append("Set-Cookie", "SessionId=your-session-value; SameSite=None; Secure; Partitioned; HttpOnly; Expires=...");
  

• 检查服务器或反向代理是否存在修改Set-Cookie头的规则，确保Partitioned属性未被移除。

2. 复用Dynamics 365的SSO身份会话 #

既然应用通过CIF集成，可直接借助Dynamics 365的Azure AD身份体系实现无Cookie会话：

• 为你的SPA配置Azure AD OAuth 2.0认证，启用与Dynamics 365的SSO联动，用户无需重复登录。
• 在CIF配置中开启SSO传递，让Dynamics 365向你的SPA下发有效身份令牌，SPA通过Authorization头携带令牌请求API，彻底摆脱Cookie依赖。

3. 使用Storage Access API申请Cookie权限 #

通过Chrome的Storage Access API，可让第三方iframe主动请求第一方Cookie访问权限：

async function requestCookieAccess() {
    // 仅在iframe环境下触发
    if (window.self !== window.top) {
        try {
            const accessGranted = await document.requestStorageAccess();
            if (accessGranted) {
                location.reload(); // 权限获取后重新加载应用
            }
        } catch (err) {
            // 处理用户拒绝的情况，引导用户手动授权或切换认证方式
        }
    }
}

// 绑定到用户交互事件（如页面加载后的授权按钮点击）
document.getElementById("grant-access-btn").addEventListener("click", requestCookieAccess);

注意：该API必须由用户主动触发（不能自动调用），需在UI中添加明确的授权提示。

4. 配置First-Party Sets（关联主体适用） #

如果你的应用与Dynamics 365属于同一企业主体，可向Google提交First-Party Sets申请，将两者标记为同一第一方集合。审核通过后，你的应用在Dynamics 365 iframe中会被视为第一方，Cookie限制将不再生效。

5. 切换至Token-Based会话管理 #

彻底放弃Cookie，改用JWT令牌管理会话：

• SPA通过认证流程获取JWT令牌，存储在sessionStorage或内存中。
• 所有API请求通过Authorization: Bearer <token>头传递令牌，服务器验证令牌有效性而非Cookie。
• 这种方式完全不受第三方Cookie限制，是现代SPA的主流会话方案。

内容的提问来源于stack exchange，提问作者Adeel Aziz