Apache Superset iframe嵌入MERN应用：Firefox正常Chrome会话异常求助

我用iframe把Apache Superset的dashboard builder嵌入到自己的MERN应用里，这个配置在Firefox里完全正常，但在Google Chrome中iframe加载失败，出现认证/会话问题——Superset在Chrome的嵌入环境里识别不到登录会话。

相关配置代码 #

TALISMAN_ENABLED 配置 #

TALISMAN_ENABLED = utils.cast_to_boolean(
    os.environ.get("TALISMAN_ENABLED", False))

TALISMAN_CONFIG 配置 #

TALISMAN_CONFIG = {
    "content_security_policy": {
        'frame_options': 'ALLOWALL',
        "base-uri": ["'self'"],
        "default-src": ["'self'"],
        "img-src": [
            "'self'",
            "blob:",
            "data:",
            "https://apachesuperset.gateway.scarf.sh",
            "https://static.scarf.sh/",
            # "https://avatars.slack-edge.com", # Uncomment when SLACK_ENABLE_AVATARS is True
        ],
        "worker-src": ["'self'", "blob:"],
        "connect-src": [
            "'self'",
            "http://192.168.234.3:9001"
        ],
        "frame-ancestors": ["http://localhost:3000", "http://192.168.29.104:3000", ],
        "object-src": "'none'",
        "style-src": [
            "'self'",
            "'unsafe-inline'",
        ],
        "script-src": ["'self'", "'strict-dynamic'"],
    },
    "content_security_policy_nonce_in": ["script-src"],
    "force_https": False,
    "session_cookie_secure": False,
}

会话与CSRF相关配置 #

SESSION_COOKIE_HTTPONLY = True  # Prevent cookie from being read by frontend JS?
SESSION_COOKIE_SECURE = False  # Prevent cookie from being transmitted over non-tls?
SESSION_COOKIE_SAMESITE = None
SESSION_COOKIE_NAME = 'superset_session'
ENABLE_PROXY_FX = True
ENABLE_JAVASCRIPT_CONTROLS = True
# Whether to use server side sessions from flask-session or Flask secure cookies
SESSION_SERVER_SIDE = False

WTF_CSRF_ENABLED = False

WTF_CSRF_COOKIE_SAMESITE = None
WTF_CSRF_COOKIE_SECURE = False

Chrome对跨域Cookie的限制比Firefox更严格，尤其是iframe环境下，即便设置了SESSION_COOKIE_SAMESITE = None，仍可能因细节问题拒绝携带会话Cookie，以下是针对性调整方案：

1. 修正SameSite属性格式
   Flask/Superset要求SESSION_COOKIE_SAMESITE为字符串类型的'None'，而非Python的None对象，修改配置：

   SESSION_COOKIE_SAMESITE = 'None'
   WTF_CSRF_COOKIE_SAMESITE = 'None'
   

   同时Chrome强制要求SameSite为None时，Cookie必须标记为Secure，因此生产环境必须启用HTTPS，同步设置：

   SESSION_COOKIE_SECURE = True
   TALISMAN_CONFIG["session_cookie_secure"] = True
   WTF_CSRF_COOKIE_SECURE = True
   

   本地测试可临时关闭Chrome的相关限制：打开chrome://flags/#same-site-by-default-cookies和chrome://flags/#cookies-without-same-site-must-be-secure，设置为Disabled后重启Chrome。

2. 确认iframe上下文匹配
   检查MERN应用的嵌入URL与frame-ancestors配置的地址完全一致，Chrome对localhost和IP地址的区分严格，避免出现端口、协议不匹配的情况。

3. 启用服务器端会话（可选）
   当前使用的Flask安全Cookie会话在跨域iframe场景下稳定性较差，可尝试启用服务器端会话：

   SESSION_SERVER_SIDE = True
   

   需提前配置会话存储（如Redis），但能从根源避免客户端Cookie的跨域问题。

内容的提问来源于stack exchange，提问作者GPT 123