Safari跨站跟踪拦截导致Express Session无法发送Cookie的解决方法

Safari 默认开启的智能跟踪防护（ITP）会直接拦截第三方上下文下设置的SameSite=None类Cookie，这类Cookie会被判定为跨站跟踪用途直接屏蔽，仅调整express-session的Cookie配置项无法绕过这个默认拦截规则。

按生产环境可用性优先级排序，优先选择第一种方案，可一劳永逸兼容所有浏览器：

方案1：同域/同根域部署（最推荐，无兼容问题） #

从架构上避免第三方Cookie场景，完全不需要用户修改任何浏览器设置：

• 最优实现是通过Nginx等反向代理，把前端静态资源和后端接口部署在同一个域名下：前端页面走根路径/，所有接口请求统一走/api前缀，由反向代理转发到后端Node服务，这种场景下完全不存在跨站问题。
• 如果前后端已经分别部署在不同子域，比如前端为www.yourdomain.com、后端接口为api.yourdomain.com，二者同属一个根域，不属于第三方站点范畴，Safari不会做拦截。

对应调整express-session配置即可：

app.set('trust proxy', 1);

app.use(session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: {
        secure: true,
        httpOnly: true,
        // 同站场景下使用lax，兼顾安全和页面跳转场景的Cookie自动携带需求
        sameSite: 'lax',
        // 子域部署时添加该配置，允许根域下所有子域共享Cookie；纯同域部署可省略
        domain: '.yourdomain.com',
        maxAge: 60 * 60 * 24 * 1000
    },
    store: MongoStore.create({
        mongoUrl: process.env.DB_URL,
        ttl: 14 * 24 * 60 * 60,
        autoRemove: 'native',
    })
}));

该方案是生产环境标准实现，除解决Safari拦截问题外，还能提前适配Chrome、Firefox等浏览器未来全面禁用第三方Cookie的规则变动，长期稳定性最好。

方案2：替换为无Cookie的Token认证机制（适用于无法同域部署的场景） #

如果业务确实需要跨站提供服务（比如第三方页面嵌入、多域名共用认证体系），就不要依赖Cookie存储会话标识，改用Token认证方案：

• 登录完成后后端返回签名后的认证Token（可以是JWT，也可以是随机生成绑定用户信息的session Token）
• 前端将Token存储在内存或localStorage中，后续所有请求通过Authorization: Bearer <token>请求头携带认证信息
• 后端不再依赖express-session自动解析Cookie，改为手动从请求头读取Token完成身份校验
  这种方案完全不涉及Cookie传输，自然不会被Safari的跨站跟踪拦截规则影响。落地时注意做好XSS防护，给Token设置合理过期时间，搭配refresh Token机制优化用户体验即可。

注意：不要尝试通过修改Cookie属性、嵌套页面跳转等非正规方案绕过ITP规则，这类方案大多已经被新版Safari修复，稳定性极差，禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者Kotai