不同localhost源下出现相同Cookie的原因排查

你遇到的这种情况，核心是localhost作为特殊主机名的浏览器宽松处理逻辑，加上漏洞应用的Cookie设置不严谨，具体拆解如下：

• localhost的特殊同源策略优化：
  主流浏览器为了方便本地开发，对localhost的同源策略做了特殊宽松处理——默认不严格区分端口，将同一localhost下的不同端口视为同一站点范畴，因此允许跨端口读取Cookie。这是浏览器针对本地开发场景的专属优化，并非标准同源策略的通用行为。

• 漏洞应用的Cookie设置缺陷：
  你的localhost:8080应用设置Cookie时，仅指定了名称、值、过期时间和路径，缺少几个关键安全属性：

  1. 未设置HttpOnly：该属性会阻止JavaScript脚本读取Cookie，缺失后攻击者应用的JS代码可直接读取Cookie内容。
  2. 未设置SameSite：这个属性限制Cookie在跨源场景下的发送/读取行为，默认值在不同浏览器中偏宽松，允许跨端口的Cookie访问。
  3. 未明确指定Port和Domain：根据Cookie规范，未指定Port时，浏览器会允许Cookie被发送到同一主机的所有端口；未明确指定Domain为localhost时，部分浏览器会将其视为适用于整个localhost主机，进一步放大了跨端口共享的风险。

要解决这个问题，需严格配置Cookie的安全属性，修改漏洞应用中设置Cookie的代码：

// PHP 7.3+版本支持SameSite属性
setcookie(
    'session',
    $session_id,
    [
        'expires' => time() + 3600 * 24,
        'path' => '/',
        'domain' => 'localhost',
        'secure' => false, // 本地开发用HTTP可设为false，生产环境建议设为true（仅HTTPS传输）
        'httponly' => true, // 禁止JS读取Cookie
        'samesite' => 'Strict' // 严格限制跨源Cookie访问
    ]
);

配置后，攻击者应用的JS脚本将无法读取localhost:8080的Cookie，同时跨源请求（比如注销表单的POST请求）也会受到SameSite属性的限制，大幅提升应用安全性。

内容的提问来源于stack exchange，提问作者AvirukBasak