SameSite 属性如何自动添加到我的 Asp.net_SessionID cookie 中？

Question

最近 samesite=lax 自动添加到我的会话 cookie 中！ 这个属性只是添加到 sessionID： "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

我的网站托管在 IIS 8.5、Windows 2012 R2 上，没有 WAF 或 UrlRewrite，我关闭了 AntiVirus (kasper)。

但在某些客户服务器上仍有同样的问题。

有什么想法吗？

已编辑： 我发现这个： https://support.microsoft.com/en-us/help/4524419/kb4524419

现在，当 HttpCookie.SameSite 值为“无”时，ASP.NET 将发出 SameSite cookie 标头，以适应 Chrome 中即将对 SameSite cookie 处理进行的更改。作为此更改的一部分，FormsAuth 和 SessionState cookie 也将使用 SameSite = 'Lax' 而不是之前的默认值 'None' 发出，尽管这些值可以在 web.config 中覆盖。

如何在 web.config 中覆盖 SessionState 的同站点 cookie？ 我添加了这一行，但它不适用于 SessionID cookie！ <httpCookies sameSite="Unspecified" />

已编辑：我发现这个：https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

通过SessionState标签的“cookieSameSite”属性为状态服务器设置samesite。

Answer 1

将这些选项添加到 web.config 以用于 sameSite=None 、 Lax 或 Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Answer 2

CookieSameSite 属性不适用于许多旧框架。如果您的环境不支持已接受的答案，请继续阅读！

我修改了几个 SO 答案以提出这个 URL 重写，将 SameSite=None 添加到会话 cookie，并从大多数不兼容浏览器的 所有 cookie 中删除 SameSite=None。此次重写的目的是保留 Chrome 80 之前的“遗留”行为。

我的Coder Frontline blog：

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

这应该适用于大多数 ASP .Net 和 ASP .Net Core 应用程序，尽管较新的框架具有适当的代码和配置选项，可让您控制此行为。我建议在使用上面的重写之前研究所有可用的选项。

Answer 3

我不能使用重写，因为我的所有客户服务器上都没有安装 UrlRewrite。

最后我将 cookieSameSite 添加到我的 web.config：

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

Answer 4

最后更新： zemien's answer 比我的更全面更完整。因为它根据用户代理设置cookie。

我的回答：

对于 web.config 中的 ASP.NET_SessionId，您可以将 SameSite=Lax 替换为 SameSite=None，方法如下：

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

更新： 为防止IOS problem，替换

<action type="Rewrite" value="{R:1};SameSite=None" />

与

<action type="Rewrite" value="{R:1};" />

Answer 5

@zemien 您的解决方案正确解决了我们的谷歌浏览器问题

我们有一个集成，我们的应用程序嵌入在第三方的 iframe 中。 2020 年 2 月 4 日发布的 Chrome 版本 80 阻止加载 cookie。

但是我必须修改模式以捕获所有 cookie、添加安全标志和条件以不为我们的本地非 https 环境在 localhost 上应用重写

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Answer 6

为我工作。 添加到我的 web.config 文件中：

<sessionState cookieSameSite="None"></sessionState>

升级到.Net Framework 4.8 + 安装补丁： 适用于 x64 的 Windows 10 版本 1909 的 .NET Framework 3.5 和 4.8 的 2019 年 12 月累积更新 (KB4533002)

Answer 7

4 台带有 google chrome 的机器无法在 asp 上跨站点使用 cookie。 关注 web.config 的 H. J. van der Wijk 信息

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

还是不行，得改

<httpCookies sameSite="None"/>

为

<httpCookies httpOnlyCookies="true" requireSSL="true" sameSite="None"/>

一切正常。

谢谢

Answer 8

将这些选项添加到 web.config 以用于 sameSite=None 、 Lax 或 Strict

<system.web>
    <httpCookies sameSite="None" requireSSL="true" />
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" requireSSL="true" />
    </authentication>
</system.web>

自 .Net Framework 4.7.2 起支持此功能。

Docs on sessionState cookieSameSite
Docs on httpCookies sameSite
SameSite=None 需要 Secure (requireSSL="true")。 Lax 和 Strict 不要。 sessionState 没有 requireSSL 并使用来自 httpCookies 的属性。
Good article with explanation of SameSite in Google Chrome。 Chrome 从 80 版开始在 iframe 中阻止第三方 cookie。