第三方站点跳转回本站后session、CSRF等Cookie丢失问题求助

问题根因 #

你遇到的Cookie丢失问题和第三方站点无关，是SameSite Cookie规则的默认限制导致的：

• 你给mysite_session设置的SameSite=Lax规则明确要求：跨站请求只有顶级导航+GET请求才会携带本站Cookie，其他跨站请求（包括跨站POST请求、非顶级导航的资源请求）都不会携带本站Cookie
• 第三方站点通过POST方式重定向回你的/return接口属于跨站POST请求，请求到达你服务端时没有携带旧的Session Cookie
• 服务端检测不到有效Session ID，就会生成新的Session，返回新的mysite_session Set-Cookie头，覆盖掉用户浏览器本地存储的旧Session Cookie，导致原有会话失效

排查验证方法 #

1. 打开浏览器开发者工具的「网络」面板，勾选「Preserve log」，复现整个操作流程
2. 查看第三方跳转回/return的请求头，确认Cookie字段中是否携带了旧的mysite_session值
3. 查看/return请求的响应头，确认是否返回了新的Set-Cookie: mysite_session=xxx头，值和旧Session是否不一致

解决方案 #

方案1：调整Session Cookie的SameSite规则 #

将Session Cookie的SameSite属性从Lax改为None，同时必须开启Secure属性（SameSite=None强制要求搭配Secure，仅HTTPS环境生效），修改后Set-Cookie示例：

mysite_session=XXXXXXXXXXXXX; path=/; domain=.mysite.test; httponly; samesite=none; secure

Laravel环境可以直接修改config/session.php中的same_site配置项为none，secure配置项为true。

方案2：修改第三方回调的请求方式 #

和第三方对接，要求回调时改用GET方式重定向回你的站点，SameSite=Lax允许跨站顶级导航的GET请求携带Cookie，不会触发这个问题。

方案3：回调地址放行Session校验 #

给/return接口单独放行Session校验，接口收到请求后不创建新Session，仅处理参数后用前端JS跳转回站内其他页面，后续站内跳转属于同域请求，会自动携带原有Session Cookie。

内容的提问来源于stack exchange，提问作者bloodleh