Python Flask如何设置Session Cookie的SameSite=None及Secure属性？

核心问题原因 #

你此前操作的app是Dash实例，而非底层挂载的Flask原生服务实例，Flask的Session Cookie相关配置需要作用在Flask实例上才会生效，直接给Dash的config设置Flask专属配置键会触发无效配置报错。另外你此前将SESSION_COOKIE_SECURE设为字符串'True'而非布尔值True，也是配置不生效的常见原因。

正确配置步骤 #

1. 先从Dash实例中取出底层的Flask服务对象，再对该对象的config做配置修改，参考代码如下：

import dash

# 初始化你的Dash应用
app = dash.Dash(__name__)
# 取出Flask原生实例
server = app.server

# 配置Session Cookie属性
server.config.update(
    SESSION_COOKIE_SAMESITE='None',
    SESSION_COOKIE_SECURE=True, # 注意此处为Python布尔值，不要加引号
    SESSION_COOKIE_HTTPONLY=True # 可选配置，提升Cookie安全性，防止XSS攻击窃取
)

2. 配置完成后先清除浏览器中已存在的旧站点Cookie，旧Cookie的属性不会自动更新，需要重新下发后才会生效。
3. 本地开发测试注意：如果你的本地环境使用HTTP协议而非HTTPS，SESSION_COOKIE_SECURE设为True时浏览器会自动拒收该Cookie，可通过环境变量区分环境配置：

import os
run_env = os.getenv('RUN_ENV', 'development')
server.config.update(
    SESSION_COOKIE_SAMESITE='None' if run_env == 'production' else 'Lax',
    SESSION_COOKIE_SECURE= run_env == 'production',
    SESSION_COOKIE_HTTPONLY=True
)

内容的提问来源于stack exchange，提问作者dev123