iOS端Facebook内置浏览器用户重复认证问题排查求助

问题背景 #

部分iOS用户通过Facebook内置浏览器访问www.dypnytt.no时，每次打开新文章都需要重新登录。我们无法在自有iOS设备上复现该问题，初步推测是认证Cookie nrs_id未跨会话保留，但未找到同类案例，需要更多技术分析方向。

当前Cookie配置 #

• Cookie名称: nrs_id
• 域名: www.dypnytt.no
• 路径: /
• 过期时间: 2023-11-23T17:03:05.743Z
• 大小: 150
• SameSite: 空白

已尝试方案 #

当检测到网站在Facebook内置浏览器运行时，将nrs_id存入localStorage，后续通过该值重新设置Cookie，目前在等待用户反馈效果。

技术见解与建议 #

1. 修正SameSite与添加Secure属性 #

当前Cookie的SameSite设为空白，iOS WebKit内核对未明确SameSite的Cookie有严格拦截规则。建议：

• 若网站为HTTPS部署，设置SameSite=None; Secure（必须同时加Secure，否则浏览器会拒绝）
• 若无需跨站认证，设置SameSite=Lax，这是更安全的默认值，能兼容大多数会话保留场景

2. 适配Facebook内置浏览器的会话隔离机制 #

Facebook内置浏览器在iOS上可能采用独立会话容器加载不同页面，导致Cookie无法共享。可以：

• 确保所有文章跳转使用www.dypnytt.no下的路径，避免跨子域名跳转（即使当前都是同一域名，也要确认跳转逻辑是否存在隐性跨域）
• 页面加载时主动检查Cookie是否存在，若不存在则尝试从localStorage恢复，同时触发一次用户交互（比如点击确认按钮）后再设置Cookie——WebKit对无用户交互的Cookie设置可能有拦截

3. 针对WebKit ITP机制优化 #

iOS WebKit的Intelligent Tracking Prevention (ITP)会自动清理跨站点Cookie，可通过以下方式适配：

• 在网站根目录部署apple-app-site-association文件，将Facebook列为关联应用，降低ITP对Cookie的限制
• 每次用户与页面交互（比如滚动、点击文章）时，刷新nrs_id的过期时间，避免ITP判定为闲置Cookie而清理

4. 完善localStorage备份方案 #

现有方案可补充：

• 页面初始化时优先检查localStorage中的nrs_id，若当前Cookie缺失，立即设置Cookie并发起认证请求
• 监听storage事件，实现同一浏览器内不同页面的Cookie状态同步（如果Facebook内置浏览器支持多标签）

5. 引导用户排查设备隐私设置 #

让反馈问题的用户检查以下设置：

• iOS系统「设置」-「隐私与安全性」-「跟踪」是否开启（关闭可能导致第三方Cookie被拦截）
• Facebook应用「设置与隐私」-「设置」-「网站和应用」是否限制了Cookie存储
• 是否开启了Facebook内置浏览器的私密浏览模式（该模式会在会话结束后清除所有Cookie）

内容的提问来源于stack exchange，提问作者Haakon Reiss-Jacobsen