Safari重定向认证Cookie被拒：求轻量跨站认证兼容方案

我们实现的跨站无缝认证流程在Safari中因ITP拦截重定向设置的Cookie失效，即使Cookie已按CHIPS标准分区。核心问题是Safari拒绝通过HTTP响应头在跨站重定向链中设置认证Cookie。

轻量优化方案：仅修改步骤4的重定向逻辑 #

无需协调第三方修改流程，也不增加用户操作，只需要调整mysite.vlaanderen/autologin的响应逻辑：

修改步骤4的具体操作 #

放弃原流程中通过HTTP响应头设置Cookie+直接重定向的方式，改为：

1. autologin接口验证令牌aaaaaaaaaaaaaaaaaaaaaaaaa后，生成一个极简的HTML页面；
2. 在页面的JavaScript中，使用document.cookie设置带CHIPS分区的认证Cookie；
3. 通过window.location.href立即跳转到mysite.vlaanderen/account。

示例代码 #

返回的HTML页面可以是：

<!DOCTYPE html>
<html>
<head>
    <script>
        // 按要求设置认证Cookie，保留所有必要属性
        document.cookie = "auth=abcdefg123456; Path=/; Secure; HttpOnly=false; SameSite=None; Partitioned;";
        // 跳转至目标页面
        window.location.href = "/account";
    </script>
</head>
<body></body>
</html>

方案原理 #

Safari ITP允许由用户交互触发的页面通过JavaScript设置跨站Cookie：

• 步骤3中用户点击thirdparty.org的链接属于明确的用户交互，因此autologin页面的加载被视为用户主动触发；
• 此页面中的JS设置Cookie操作会被ITP认可，不会被拦截。

关键注意事项 #

• Cookie属性必须完整：Secure（HTTPS环境必填）、SameSite=None（跨站场景必填）、Partitioned（CHIPS分区，避免被ITP标记为跨站跟踪）；
• HttpOnly需设为false，因为JavaScript需要直接操作Cookie；
• 确保autologin页面的访问链路起始于用户交互（本场景中步骤3的用户点击已满足）。

方案优势对比 #

相比之前的workaround，此方案：

• 无需协调thirdparty.org修改流程，减少跨团队沟通成本；
• 用户无感知，不需要额外点击操作，保持无缝体验；
• 兼容所有主流浏览器（包括Safari、Chrome、Firefox等），无需针对不同浏览器做分支处理。

内容的提问来源于stack exchange，提问作者Nitrox Tank