如何阻止Chrome在iframe中禁用Cookie？（跨域嵌入场景）

Chrome对跨域iframe的第三方Cookie限制比其他浏览器更严格，结合你的Spring MVC + Spring Security环境，可通过以下步骤解决：

1. 配置Spring Security设置Cookie的SameSite属性 #

由于你禁用了默认的headers配置，需要手动指定Session Cookie的SameSite属性为None，同时开启Secure（仅HTTPS传输），这是Chrome允许跨域iframe读取第三方Cookie的必要条件：

Java配置方式 #

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        // 保留你的其他安全配置
        .sessionManagement(sessionConfig -> sessionConfig
            .sessionCookieConfig(cookie -> cookie
                .sameSite(SameSiteAttributeValue.NONE)
                .secure(true) // 生产环境必须启用HTTPS，本地开发可暂时关闭
            )
        );
}

XML配置方式 #

<security:http>
    <!-- 你的其他安全配置 -->
    <security:session-management>
        <security:session-cookie same-site="NONE" secure="true"/>
    </security:session-management>
</security:http>

2. 升级Tomcat版本 #

Tomcat 9.0.21之前、8.5.42之前的版本不支持Cookie的SameSite属性，无法正确输出SameSite=None标识，需升级到对应以上的版本。

3. 确保嵌入环境使用HTTPS #

SameSite=None要求Cookie必须通过HTTPS传输，因此你的Tomcat部署页面和嵌入它的Apache测试页面都需要使用HTTPS协议，否则Chrome会拒绝加载该Cookie。

4. 验证Cookie配置 #

在Chrome开发者工具中打开Application标签，找到目标域名的Cookies，确认以下属性：

• SameSite值为None
• Secure标记为true

如果以上配置都正确，Chrome就能在iframe中正常读取Cookie，页面也不会再提示Cookie未启用。

内容的提问来源于stack exchange，提问作者curious1