Safari开启跨站跟踪拦截第三方Cookie致express session失效如何解决

API 探路者

2026-8-27

问题背景

基于Passport与Express Session实现身份认证的应用部署后，在开启默认「阻止跨站跟踪」功能的Safari浏览器中，Express Session无法正常维持会话状态，仅当用户手动关闭该浏览器设置时功能恢复，需在不要求用户调整浏览器配置的前提下解决问题。

原有Express Session配置如下：

app.set('trust proxy', 1);

app.use(session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: {
        secure: true,
        httpOnly: true,
        sameSite: 'none',
        maxAge: 60 * 60 * 24 * 1000
    },
    store: MongoStore.create({
        mongoUrl: process.env.DB_URL,
        ttl: 14 * 24 * 60 * 60,
        autoRemove: 'native',
    })
}));

根本原因

Safari默认启用的智能跟踪防护（ITP）机制会对第三方上下文的Cookie执行严格拦截规则：即便Cookie配置了SameSite=None; Secure属性，只要属于跨站（第三方）场景下非用户主动交互触发写入的Cookie，都会被直接拦截，或被强制限制为7天有效期。Express Session默认依赖Cookie存储Session ID，跨站场景下Session ID无法正常写入浏览器，后续请求不会携带对应会话凭证，自然无法维持登录状态。

可行解决方案

按落地优先级从高到低排列：

同根域部署服务，将Cookie转为第一方Cookie
这是兼容性最好、改造成本最低的方案：将前后端服务部署在同一个根域名下，例如前端页面地址为www.example.com，后端接口地址为api.example.com，同时在Session配置中指定根域，将sameSite属性调整为lax（同域场景下安全性高于none），此时写入的Cookie属于第一方Cookie，不会被Safari的跨站跟踪规则拦截。
调整后的配置参考：

app.set('trust proxy', 1);

app.use(session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: {
        secure: true,
        httpOnly: true,
        sameSite: 'lax',
        domain: '.example.com', // 替换为业务实际使用的根域名
        maxAge: 60 * 60 * 24 * 1000
    },
    store: MongoStore.create({
        mongoUrl: process.env.DB_URL,
        ttl: 14 * 24 * 60 * 60,
        autoRemove: 'native',
    })
}));

跨域场景下改用Token认证，彻底弃用Cookie传递会话凭证
如果业务场景无法满足同根域部署要求，直接放弃基于Cookie的Session认证方案，改用Token机制（如JWT、自定义随机Token）：认证通过后服务端生成合法Token返回给前端，前端将Token存储在本地存储中，后续所有接口请求通过Authorization请求头携带Token，服务端校验Token合法性完成身份识别。该方案完全不依赖Cookie机制，不受任何浏览器跨站Cookie拦截规则影响。
落地时注意不要在Token中存储敏感明文信息，配置合理的访问Token过期时间，搭配刷新Token机制平衡安全性与用户体验。
反向代理过渡方案
如果短期无法调整服务部署架构或重构认证逻辑，可以在前端域名下配置反向代理规则，将所有接口请求路径（如/api/*）转发到实际后端服务地址。对浏览器而言所有请求都发往当前访问的前端域名，不存在跨站请求，Cookie会作为第一方Cookie正常写入，不需要修改前后端核心业务逻辑即可快速解决问题。

以上方案全部为服务侧可落地的调整，不需要用户修改任何浏览器配置。

内容的提问来源于stack exchange，提问作者Kotai