关于Same-site Cookie设置与松散作用域Cookie（FQDN低危漏洞）的咨询

默认情况下的Cookie共享规则 #

先明确你提到的场景：

• 如果你的Cookie显式设置了Domain=.myweb.com（注意开头的点），那api.myweb.com和myweb.com确实会共享这个Cookie，所有myweb.com的子域名都能读取它。
• 但如果Cookie没指定Domain属性，默认只会绑定到当前请求的主机名（比如myweb.com），这种情况下api.myweb.com作为子域名是拿不到这个Cookie的，自然不存在共享。

SameSite=Strict能不能解决松散作用域Cookie问题？ #

答案是不能，而且这是两个完全无关的问题：

• 松散作用域Cookie（Loosely Scoped Cookie）的问题根源是Cookie的Domain配置太宽泛，比如用了.myweb.com这种覆盖所有子域名的设置，导致无关的子域名也能访问Cookie。要解决这个问题，你需要收紧Cookie的作用域：要么不设置Domain（默认绑定当前主机），要么只把Domain设为特定的域名（比如myweb.com或者api.myweb.com），避免用通配符式的域名配置。
• 而SameSite="Strict"的作用是控制Cookie在跨站请求中的发送逻辑——只有当请求的发起域名和Cookie所在域名完全一致时，才会携带Cookie，主要是用来防CSRF攻击。它完全不影响哪些域名能读取Cookie，就算你开了SameSite=Strict，只要Domain还是.myweb.com，api.myweb.com照样能拿到这个Cookie，松散作用域的风险依然存在。

内容的提问来源于stack exchange，提问作者Hsinhsin Hung