JS如何将指定域名下所有Cookie更新为SameSite=None属性

问题描述 #

正在对接一款第三方JS脚本，该第三方脚本会设置Cookie，但未将Cookie设置为samesite=none和secure属性。这导致后续向该第三方发起调用时出现问题：在Chrome开发者面板的「Issues」栏看到提示：Indicate whether to send a cookie in a cross-site request by specifying its SameSite attribute。提示显示共有18个Cookie因sameSite属性被默认设为Lax，在每次请求中被过滤。请问是否有办法可以更新指定域名下的所有Cookie，将其sameSite属性设置为None？

解答 #

首先明确：受浏览器同源策略限制，你无法直接修改第三方域名下脚本设置的Cookie属性，Cookie的SameSite、Secure等属性只能由设置该Cookie的源站点（即第三方域名所属方）修改，你的站点JS、浏览器控制台都没有权限跨域调整其他域名的Cookie配置。

可行的解决路径按优先级排序：

• 要求第三方修正Cookie下发配置
  这是唯一适用于生产环境的根本解决方案。需要第三方在下发Cookie时，主动补充两个必要配置：
  • 无论是后端响应头的Set-Cookie字段，还是前端JS通过document.cookie写入Cookie，都要追加SameSite=None属性
  • SameSite=None必须同时搭配Secure属性，否则现代Chrome、Edge等浏览器会直接拒绝该跨站Cookie
    前端JS设置Cookie的正确写法示例：document.cookie = "目标Cookie名=对应值; SameSite=None; Secure; Domain=第三方主域名; Path=/"
• 本地开发临时调试方案（不可用于生产）
  如果仅为本地开发阶段复现/调试业务逻辑，可临时修改Chrome实验配置放宽默认限制：
  1. 打开Chrome，地址栏输入chrome://flags/#same-site-by-default-cookies，将该选项设置为Disabled
  2. 再输入chrome://flags/#cookies-without-same-site-must-be-secure，同样设置为Disabled
  3. 重启Chrome后生效
     注意：该修改仅作用于你本地的浏览器，无法解决终端用户侧的同类问题，绝对不能替代生产环境的正式修复
• 如果Cookie由你的后端代理下发
  如果你是通过自身后端代理转发第三方接口、由你的后端服务器下发了这些Cookie，可直接在后端的接口响应头中调整Set-Cookie配置，给对应Cookie追加SameSite=None; Secure属性即可。

内容的提问来源于stack exchange，提问作者Nick