我可以在 Google Chrome 的 iframe 中允许使用 CORS 的第一方 cookie 吗？

Question

为什么在 Chrome 中启用“阻止第三方 cookie”后，我的带有跨域请求和 withCredentials=true 的 cookie 不再发送？

环境：Chrome 80.0.3987.122、nodejs server、2 个域（a.com、b.com）

测试用例：

1. 使用新规则 test=cookie; SameSite=None; Secure 为域 a.com 设置 cookie
2. 写<iframe src="https://b.com" />并把它放到a.com/index.html
3. 写var xhr = new XMLHttpRequest(); xhr.open('GET', 'https://a.com/', true); xhr.withCredentials = true; xhr.send(null);并把它放到b.com/index.html
4. 将 CORS 添加到 a.com，例如：access-control-allow-origin: https://b.com 和 access-control-allow-credentials: true
5. 在 Chrome 中打开 https://a.com

结果：发送到 a.com 的 xhr 请求成功发送并获得 200，但是：启用“阻止第三方 cookie”时：cookie test=cookie请求中不存在 cookie。

为什么？这是一个第一方 cookie，因为域 a.com 是在 chrome 选项卡中打开的。

事实：

1. 新的 google cookie 设计允许使用 SameSite=None; Secure (source) 制作 cookie
2. CORS 允许在 access-control-allow-credentials: true (source) 时发送 site cookies
3. XMLHttpRequest 允许使用withCredentials=true (source) 发送 cookie
4. Request 和 Cookie 用于 1rd-site（不是第三个），而该选项称为 block third-party cookie

铬问题：https://bugs.chromium.org/p/chromium/issues/detail?id=918322

Answer 1

为什么？这是第一方 cookie，因为域 a.com 是在 chrome 选项卡中打开的。

这是一个第三方 cookie，因为请求是由 b.com 触发的，即使 b.com 是由 a.com 构成的。

我想您可以通过使用postMessage 向window.parent（即a.com）发送消息并通过发出 XHR 请求本身来响应那里的页面来解决此问题。