SameSite=Lax搭配Microsoft Identity Web对接Azure AD时Safari无限重定向问题

问题原因 #

你遇到的是Safari 14版本的已知SameSite=Lax Cookie兼容缺陷：在跨站POST请求后续的302重定向场景中，Safari 14会错误拦截目标站点的SameSite=Lax Cookie，即使该重定向属于合法的认证流程。

你的场景恰好命中了该缺陷的触发条件：

• 登出操作通过POST请求触发后端/logout接口
• 后端返回SignOut结果，先清理本地Cookie，再跳转至微软跨站登出端点
• 微软登出完成后重定向回你应用的根路径，该跳转属于跨站跳转，Safari 14此时不会携带你应用的SameSite=Lax Cookie，导致应用判断用户未登录，再次跳转到微软登录页
• 微软侧仍保留用户的活跃会话，无需验证直接跳转回你的应用，由此形成无限重定向循环

修改SameSite为None后问题消失也完全验证了该原因，因为SameSite=None的Cookie不会被跨站跳转逻辑拦截。

至于其他同配置应用运行正常，通常为以下几个差异点导致：

• 其他应用的登出回调路径为无需认证的公开路径，跳转回应用时不会触发未登录校验，自然不会触发重定向循环
• 其他应用未配置90天的持久化Cookie，登出后本地Cookie会被完全清理，重定向回应用时即使未携带Cookie也会正常进入登录流程，不会产生循环
• 其他应用未修改认证中间件默认的nonce、correlation等临时Cookie的SameSite属性，这类Cookie仍为SameSite=None，保障了认证跳转流程的合法性

是否可以继续使用SameSite=Lax #

完全可以，不需要全局修改为None，仅需针对Safari 14做针对性兼容处理即可，可选方案如下：

1. 扩展浏览器兼容逻辑：在Cookie配置中新增用户代理检测规则，识别到Safari 14版本时，将应用Cookie的SameSite属性临时设置为None，其余浏览器保持Lax即可。你当前使用的HandleSameSiteCookieCompatibility()方法默认仅兼容Safari 12及更低版本，需要自行扩展兼容范围。
2. 调整登出流程：修改现有登出逻辑，不要在POST接口直接返回SignOut跳转，先由后端完成本地Cookie清理后返回成功状态，由前端主动跳转到微软登出端点，且将登出完成后的回调地址设置为无需认证的公开路径（如/logout-success），再从公开路径跳转至首页，避免跨站跳转直接触发认证校验。
3. 升级依赖版本：将Microsoft Identity Web库更新到最新稳定版，部分较新的版本已经内置了Safari 14的SameSite兼容逻辑，无需额外修改配置即可解决问题。

内容的提问来源于stack exchange，提问作者S. ten Brinke