如何使用samesite=strict在OAUTH2之后重定向，并且仍然获得我的cookie？

Question

完整的请求链是：

>

发布https://provider.com/callback302找到:

Location: https://me/login?code=xxx&state=yyy

获取https://example.com/login?code=xxx&state=yyy302找到或303查看其他（似乎无关紧要）：

Location: https://example.com/destination
Set-Cookie: sid=zzzz; Secure; HttpOnly; SameSite=Strict; Path=/

如果刷新，则获取https://example.com/destination200确定，因为此时站点是相同的，并且浏览器显示SIDcookie

对于用户上次加载的页面不在example.com上的一般情况，我赞赏将SID呈现给/destination的CSRF潜力，但我只是将其从/login设置，现在我是重定向到/destination的人。

当然，我可以设置samesite=lax，但是如果有人可以找到某种方法通过错误地创建URL来触发他们从我的站点选择的重定向，那么就不会有点击劫持的可能吗？

Answer 1

我不认为出于安全原因可以这样做。samesite=strict表示，如果用户已被重定向或只是单击了指向您站点的链接（来自其他主机），则不应发送cookie。重定向就像“链接”请求。因此，如果您的服务器重定向到另一个服务器，而这个服务器立即用3xx代码重定向回来，将发送cookie，因为您的服务器是这个链的“顶部”。

然而，如果您重定向到oauth提供商，并且用户必须允许您在那里访问他的帐户，这意味着这个“链”被打破了，即使您的站点设置了cookie（设置了但没有发送），也不会再发送cookie。您的重定向只是点击的“允许”链接的“扩展”。

如果你想防止别人点击你的站点，如果你认为，你必须防止这种行为，如果你不这样做，它可能是危险的，就在链接中使用nonce。但是考虑到大多数提供商都在为您检查重定向url是否是以前定义的并且是应用程序允许的。

这里有其他的解决方案（只有当你知道自己在做什么并且能承担起100%的责任时才使用）。

• 使用“继续到站点”链接准备站点（当然，点击链接后将发送cookie)
• 使用JavaScript重新加载窗口
• 使用将重定向用户的JavaScript准备站点
• 结合第一种方法和第三种方法，使解决方案更清晰，并且在浏览器中不支持JavaScript即可工作。

我在开发的时候用过second，现在我用的是同一个站点lax（这是Hapi的默认设置，大概15个版本，所以还不算太差）。