Chrome中<form target="...">发起POST请求时丢失Cookie问题排查

原因分析 #

1. Chrome的跨站第三方Cookie隐私限制策略与Firefox存在差异：
   • 当目标窗口website2处于后台闲置状态时，Chrome会限制跨站POST请求携带第三方Cookie，以此防止后台页面滥用用户认证信息。
   • 而<a target="website2">的GET请求属于用户主动触发的顶级导航操作，Chrome将这类请求判定为高优先级交互，即使窗口长期闲置也允许携带Cookie。
2. Cookie的SameSite属性限制：
   若外部网站的认证Cookie默认设置为SameSite=Lax，跨站POST请求在非活跃上下文（后台窗口）下会被阻止携带Cookie；而GET导航请求恰好符合Lax规则允许的顶级导航场景，因此不受影响。

解决方法 #

• 调整Cookie的SameSite属性：
  联系外部网站管理员，将认证Cookie配置为SameSite=None; Secure;（必须配合Secure属性，且网站需启用HTTPS），这样Chrome会允许跨站POST请求携带该Cookie，不受窗口活跃状态影响。
• 确保请求由用户直接交互触发：
  禁止使用JS自动提交表单，必须通过用户点击按钮等明确操作触发POST提交，Chrome对用户主动触发的跨站请求会放宽Cookie限制。
• 激活目标窗口后再提交：
  在表单提交前通过JS激活website2窗口，确保请求处于活跃上下文：

  document.querySelector('form').addEventListener('submit', function(e) {
    const targetWin = window.open('', 'website2');
    if (targetWin) targetWin.focus();
  });
  

• 启用Cookie分区存储：
  若外部网站支持，给认证Cookie添加Partitioned属性（配合SameSite=None; Secure），Chrome的分区存储机制不会因窗口闲置而隔离Cookie，可维持稳定的认证状态。

内容的提问来源于stack exchange，提问作者piero-la-lune