如何解决Safari 16.4导致Laravel应用会话随机丢失的Bug？

问题本质 #

这确实是WebKit的已知Bug，目前Apple尚未推送正式修复补丁。

临时替代方案（无需全局修改SameSite为none） #

1. 基于User-Agent动态设置Cookie的SameSite属性

针对Safari 16.4单独调整Cookie配置，其他浏览器保持默认的lax规则，同时确保Secure属性开启（SameSite=None要求必须启用Secure）。

在Laravel的AppServiceProvider的boot方法中添加以下逻辑：

use Illuminate\Support\Facades\Cookie;
use Illuminate\Support\ServiceProvider;

class AppServiceProvider extends ServiceProvider
{
    public function boot()
    {
        $userAgent = request()->userAgent();
        // 匹配Safari 16.4的User-Agent特征，排除Chrome伪装的Safari标识
        if (str_contains($userAgent, 'Version/16.4') && str_contains($userAgent, 'Safari/') && !str_contains($userAgent, 'Chrome/')) {
            Cookie::defaults([
                'same_site' => 'none',
                'secure' => true,
                'http_only' => true,
            ]);
        } else {
            Cookie::defaults([
                'same_site' => 'lax',
                'secure' => config('session.secure'),
                'http_only' => true,
            ]);
        }
    }
}

注意：User-Agent匹配规则可根据实际用户的UA特征微调，避免误判其他浏览器。

2. 改用非Cookie方式存储会话标识

通过前端存储会话ID（如localStorage），后端通过请求头读取会话ID维持会话，绕过Cookie的SameSite限制。

• 后端中间件示例：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Session;

class SessionFromHeader
{
    public function handle(Request $request, Closure $next)
    {
        if ($sessionId = $request->header('X-Session-ID')) {
            Session::setId($sessionId);
            Session::start();
        }

        $response = $next($request);

        // 登录成功后返回会话ID给前端
        if (Session::isStarted() && !$request->header('X-Session-ID')) {
            $response->header('X-Session-ID', Session::getId());
        }

        return $response;
    }
}

• 前端逻辑：登录成功后从响应头获取X-Session-ID并存入localStorage，后续所有请求携带该请求头。

⚠️ 缺点：需要前后端配合开发，且localStorage存在XSS攻击风险，需额外做好XSS防护（如开启CSP、过滤用户输入等）。

3. 指导用户临时降级Safari版本

对于受影响的终端用户，可以建议他们降级到Safari 16.3版本（该版本无此Bug），等待Apple推送修复更新。

最终建议 #

上述方案均为临时替代方案，最稳妥的解决方式是等待Apple发布Safari的官方修复补丁。其中，基于User-Agent动态调整Cookie属性的方案影响范围最小，既能解决Safari 16.4的会话问题，又不会破坏Chrome等其他浏览器的正常会话行为。

内容的提问来源于stack exchange，提问作者Bob.