Django 2.2.x设置Cookie为SameSite=None报错的解决咨询

问题核心根因 #

Django 2.2.x 版本在 venv/lib/python3.9/site-packages/django/http/response.py 中对Cookie的SameSite属性做了硬编码校验，仅允许lax、strict两个取值，对应源码逻辑如下：

if samesite:
  if samesite.lower() not in ('lax', 'strict'):
    raise ValueError('samesite must be "lax" or "strict".')
  self.cookies[key]['samesite'] = samesite

传入字符串值'None'时会直接触发校验报错，这是所有配置失效的底层原因。

已验证无效的尝试路径 #

• 全局settings.py配置：直接设置CSRF_COOKIE_SAMESITE = 'None'、SESSION_COOKIE_SAMESITE = 'None'，触发原生校验报错
• 视图内直接调用原生set_cookie传参：set_cookie(name, value=value, secure=True, samesite='None')，触发原生校验报错
• 安装引入django-cookies-samesite包，将django_cookies_samesite.middleware.CookiesSameSite加入MIDDLEWARE配置，未达到预期效果
• 传入None（非字符串）作为samesite参数：响应不携带SameSite属性，被Chrome默认回退为lax策略，无法满足跨域场景要求
• 手动绕过Django响应对象直接拼接Set-Cookie：
  • 直接给response设置Set-Cookie头会抛出AttributeError: 'JsonResponse' object has no attribute 'COOKIES'报错
  • 给response.cookies直接赋值拼接好的字符串，会被Python标准库的cookiejar模块转义特殊字符，生成格式完全不符合规范的Cookie（比如将分号转义为八进制字符\073）

可落地适配方案 #

核心思路是先用合法取值绕过原生校验，再通过标准库Morsel对象直接覆盖属性值生成合规Cookie，完全绕开硬编码限制：

1. 自定义工具函数封装跨域Cookie的写入逻辑：

def set_cross_site_cookie(response, key, value, **kwargs):
    # 用合法值先过Django2.2的原生校验
    response.set_cookie(
        key=key,
        value=value,
        samesite='lax',  # 临时占位值，后续会被覆盖
        secure=True,  # SameSite=None 必须开启Secure，否则浏览器会拒绝
        **kwargs
    )
    # 直接操作标准库Morsel对象写入正确的SameSite值
    response.cookies[key]['samesite'] = 'None'
    return response

2. 针对全局Session、CSRF类Cookie，可在中间件层批量处理响应内的所有Cookie：遍历response.cookies，对需要跨域的Cookie手动覆盖samesite属性为'None'，同时确保开启secure属性。

注意：通过Morsel对象写入的属性会被Python标准库自动序列化为符合RFC规范的Set-Cookie头，不会出现手动拼接字符串导致的转义、格式错乱问题。

内容的提问来源于stack exchange，提问作者Charklewis