Safari浏览器打开新标签时SameSite=Strict Cookie未发送问题咨询

该问题由两方面的规则共同导致：

1. SameSite=Strict Cookie的标准规则明确要求，仅当请求完全处于第一方同站上下文、无任何跨站跳转链路时才会被携带。如果你的下载流程中存在跨站跳转环节（比如接口返回302跳转到第三方对象存储域名），所有浏览器都会按规则拦截Strict Cookie的携带。
2. 即使你的下载流程完全在app.example.com域名下，Safari对SameSite=Strict的实现也比Chrome、Firefox更严格：从当前站点打开的新标签页首次顶级导航请求，会被Safari判定为跨上下文场景，直接拒绝携带Strict属性的Cookie，这是Safari的特有行为。

以下方案均比针对性取消Safari的SameSite设置更安全、兼容性更好，按优先级推荐：

• 首选方案：将会话Cookie的SameSite属性从Strict调整为Lax。Lax在保留跨站POST、跨站嵌入资源请求的Cookie拦截能力的基础上，允许同站发起的顶级GET导航请求携带Cookie，几乎不会降低安全性，同时完美适配新标签页打开下载链接的场景，是绝大多数业务场景的最优选择。
• 次选方案：改为前端动态触发下载，不使用新标签页跳转。在当前页面直接通过fetch请求下载接口，拿到文件Blob后动态生成a标签触发本地下载，所有请求都在当前页面上下文发起，天然携带Strict Cookie，完全规避SameSite兼容问题，还可自定义下载加载态、错误提示等交互，参考实现逻辑：

async function downloadFile(fileName) {
  const response = await fetch('/api/download', {
    credentials: 'include'
  });
  const fileBlob = await response.blob();
  const downloadUrl = window.URL.createObjectURL(fileBlob);
  const link = document.createElement('a');
  link.href = downloadUrl;
  link.download = fileName;
  document.body.appendChild(link);
  link.click();
  window.URL.revokeObjectURL(downloadUrl);
  document.body.removeChild(link);
}

• 特殊场景方案：如果必须保留Strict属性且必须使用新标签页跳转，可新增一次性鉴权逻辑。用户点击下载时，先在当前页面请求有效期1分钟以内的一次性下载token，将token拼接在下载链接的查询参数中，下载接口优先通过查询参数的token做鉴权，不需要依赖Cookie，既保留Strict的安全性，也不存在浏览器兼容问题。

内容的提问来源于stack exchange，提问作者Tobi