OIDC登录后SameSite=Strict模式Cookie未发送致404问题排查

问题1：此场景是否属于第一方请求？还有哪些原因会导致Cookie未被发送？ #

这个场景不属于第一方请求。浏览器判断第一方（同站）请求的核心依据是「协议+根域名+端口」三者完全匹配：你的客户端运行在http://localhost:5001，身份服务器在http://localhost:5000，端口不同已属于跨站；而从外部HTTPS认证提供商重定向回身份服务器的请求，更是典型的第三方跨站发起的请求。SameSite=Strict的Cookie只会在同站请求中携带，跨站场景下浏览器会直接拦截。

除此之外，导致Cookie未被发送的常见原因还有：

• Cookie的Domain属性设置错误：比如指定了非localhost的域名，或错误绑定了特定端口，浏览器会因域名不匹配拒绝发送
• Cookie的Path属性范围过窄：如果Cookie的Path被设置为/admin这类特定路径，而请求路径是/signin-oidc，不在范围内则不会发送
• 浏览器隐私策略限制：开启隐私模式、启用「阻止第三方Cookie」功能，会直接拦截跨站Cookie
• Cookie已过期或被手动清理：浏览器会自动丢弃过期的Cookie，或用户手动清除了站点数据
• Cookie标记为Secure但请求用HTTP：Secure属性要求Cookie只能在HTTPS请求中发送，若身份服务器用HTTP却设置了该属性，浏览器不会发送
• 浏览器版本兼容性：部分旧版本浏览器对SameSite属性的解析存在bug，可能导致Cookie处理异常

问题2：Cookie已在浏览器中设置，但请求时未携带，仅当设置为SameSite=Lax时才会发送，可能的原因是什么？ #

核心原因是该请求属于跨站的GET顶级导航请求：

• SameSite=Strict的规则是：仅在同站的所有请求中携带Cookie，哪怕是跨站的顶级页面跳转（比如从外部站点重定向过来）也会被拦截
• SameSite=Lax的规则则允许：跨站场景下的GET顶级导航请求（即直接跳转到目标站点页面，而非嵌入的图片、脚本等资源请求）携带Cookie

你的场景中，从外部认证提供商重定向到http://localhost:5000/signin-oidc正是跨站的GET顶级导航，所以Strict模式下浏览器不发送Cookie，Lax模式下会发送。

另外可以排查：

• 确认Cookie未设置Secure属性：如果Cookie标记为Secure，但身份服务器用HTTP协议，哪怕是Lax模式浏览器也不会发送（但你说Lax时正常，所以大概率不是这个原因）
• 浏览器的默认SameSite行为：部分浏览器会对未明确设置SameSite的Cookie默认按Lax处理，但你这里是手动设置了Strict，所以不影响

内容的提问来源于stack exchange，提问作者Gopal Zadafiya