Laravel网站嵌入iframe后session无法正常使用如何解决？

问题根因 #

你修改same_site为none后页面过期，核心原因是浏览器强制要求：携带SameSite=None属性的Cookie必须同时开启Secure标识，仅能通过HTTPS协议传输，你此前使用HTTP协议访问站点，浏览器直接拒收了不符合规则的Session Cookie，导致会话失效。

完整配置步骤 #

1. 修正session配置 #

修改config/session.php中以下参数：

// 开启Cookie安全标识，配合SameSite=None使用
'secure' => env('SESSION_SECURE_COOKIE', true),
// 跨域iframe必须设置为none
'same_site' => 'none',
// 可选：明确指定站点域名，避免Cookie作用域异常
'domain' => env('SESSION_DOMAIN', '你的Laravel站点域名'),
// 保持默认true即可，防止JS读取Cookie提升安全性
'http_only' => true,

注意：配置修改后执行php artisan config:clear清空配置缓存，同时需要将Laravel站点切换到HTTPS协议访问，本地开发可使用Valet、Laragon等工具快速开启本地HTTPS。
本地开发临时方案：如果父站点和Laravel站点属于同一一级域名（如父站为test.local、Laravel站为app.test.local），可将same_site设为lax，secure设为false，无需HTTPS也可正常使用。

2. 配置跨域iframe嵌入权限 #

Laravel默认禁止跨域站点iframe嵌入，需要修改响应头放开权限：
打开app/Http/Middleware/FrameGuard.php，将默认的X-Frame-Options头修改为允许你嵌入的父站域名：

public function handle($request, Closure $next)
{
    $response = $next($request);
    // 替换为实际父页面站点域名
    $response->headers->set('X-Frame-Options', 'ALLOW-FROM https://你的父站域名');
    $response->headers->set('Content-Security-Policy', "frame-ancestors 'self' https://你的父站域名;");
    return $response;
}

3. 调整CSRF校验规则（可选） #

如果你的logincheck路由属于web中间件组，可将其加入CSRF校验排除列表，避免令牌校验异常：
打开app/Http/Middleware/VerifyCsrfToken.php，在$except数组中添加路由规则：

protected $except = [
    '/logincheck/*',
    // 其他需要排除的路由
];

验证生效方式 #

配置完成后，清空浏览器原有站点Cookie，重新访问iframe嵌入页面，在浏览器开发者工具-应用-Cookie中查看Laravel站点的Session Cookie，确认同时存在Secure、SameSite=None属性即可。 #

内容的提问来源于stack exchange，提问作者sivashanker