求助：Chrome现阻止iframe内localStorage中的Cognito令牌问题

核心问题定位 #

2023年8月中旬Chrome隐私政策的分阶段推送，是导致部分用户iframe内Cognito令牌缺失的核心诱因，结合你的排查情况，可从以下方向逐一验证解决：

• 第三方Cookie/存储拦截
  Chrome从2023年中开始逐步扩大第三方Cookie默认拦截范围，部分用户提前触发了该规则。iframe属于跨域第三方上下文，Cognito写入的令牌（存储在Cookie或localStorage）会被浏览器阻止。

  • 验证：打开chrome://settings/cookies，查看「阻止第三方Cookie」是否开启，或主站是否被设置了严格的Cookie权限。
  • 解决：
    1. 给Cognito配置的Cookie添加SameSite=None; Secure属性（必须配合HTTPS环境），确保跨域iframe能正常读取。
    2. 若为企业内部应用，可考虑申请Chrome第三方Cookie豁免（流程较长，适合长期合规方案）。

• Cognito应用客户端配置优化
  检查Cognito用户池的应用客户端设置，避免权限或流程限制导致令牌无法在iframe中生成：

  • 登录AWS控制台，进入目标用户池→应用客户端→OAuth 2.0配置：
    • 确认Allowed OAuth Flows选择authorization_code（授权码流+PKCE是iframe场景的最优选择，隐式流易被浏览器安全规则拦截）。
    • 确保Allowed OAuth Scopes包含openid、profile等必要权限。

• iframe Sandbox属性限制
  若嵌入iframe时设置了sandbox属性，可能限制了存储访问权限：

  • 检查嵌入代码，确保sandbox包含必要权限，比如：

    <iframe src="你的应用地址" sandbox="allow-same-origin allow-scripts allow-storage-access-by-user-activation"></iframe>
    

  其中allow-storage-access-by-user-activation允许用户交互后获取存储访问权限。

• Chrome实验特性干扰
  部分用户可能开启了Chrome隐私沙箱的实验特性，比如「第三方存储分区」：

  • 打开chrome://flags/#third-party-storage-partitioning，将其设置为「Disabled」后重启Chrome测试。

内容的提问来源于stack exchange，提问作者krgriffin