PHP Cookie SameSite 的設定方式

Chrome 80 之後的版本，預設的 Cookie 設定將會無法跨站存取 Cookie 值，若想要允許 Cookie 跨網站存取的話(SameSite = None)，需要使用 HTTPS 才可以。

  • 註：SameSite 用來阻止瀏覽器將 Cookies 跨網站發送 (prevents the browser from sending this cookie along with cross-site requests)

PHP Cookie SameSite 的設定方式

Chrome 80 之後的 Cookie SameSite 設定有三種(預設改為 Lax)：

  • Strict
  • Lax (default)
  • None (需有 HTTPS 搭配，否則一樣等同 Lax)

Cookie SameSite 官方文件

Cookie SameSite 跨網域存取

  • SameSite=Strict：最嚴謹，只有與目前網頁網址一致才能發送 (remote.example、site.example 互相無法發送)
    • Set-Cookie: CookieName=CookieValue; SameSite=Strict;
  • SameSite=Lax：使用 GET remote.example 向 site.example 發送，Cookie 將會送向 remote.example (POST 則不會發送 Cookie)
    • Set-Cookie: CookieName=CookieValue; SameSite=Lax;
  • SameSite=None + HTTPS：允許跨網域存取，但是若沒 HTTPS 則預設「拒絕」跨網域存取
    • 無效：Set-Cookie: remote_session=abc123; SameSite=None
    • 有效：Set-Cookie: remote_session=abc123; SameSite=None; Secure

而 SameSite 的設定，於 PHP 7.2 以前尚未支援，所以 PHP 7.2 以前和 PHP 7.3 寫法不同：

PHP 7.2 以前的 SameStie Cookie 寫法

  • header('Set-Cookie: cross-site-cookie=name; SameSite=None; Secure');

PHP 7.3 以後的 SameStie Cookie 寫法

  • setcookie('cross-site-cookie', 'name', ['samesite' => 'None', 'secure' => true]);

相關網頁

作者: Tsung

對新奇的事物都很有興趣, 喜歡簡單的東西, 過簡單的生活.

在〈PHP Cookie SameSite 的設定方式〉中有 3 則留言

  1. 自動引用通知: 第三方 Cookie SameSite = Lax 對應 PHP調整 | GrowingDNA 成長基因
  2. 自動引用通知: 跨網域的cookie與資料安全 / Cross domain cookie and data security - Phanix's Blog
  3. 自動引用通知: [php]cookie | 飛狼實驗室[wp]

發表迴響

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料。