Google 网上论坛不再支持新的 Usenet 帖子或订阅项。历史内容仍可供查看。

Intent to implement: Cookie SameSite=lax by default and SameSite=none only if secure

已查看 13,257 次
跳至第一个未读帖子

Andrea Marchesini

未读,
2019年5月23日 04:34:142019/5/23
收件人 dev-platform
Link to the proposal:
https://tools.ietf.org/html/draft-west-cookie-incrementalism-00

Summary:
"1. Treat the lack of an explicit "SameSite" attribute as
"SameSite=Lax". That is, the "Set-Cookie" value "key=value" will
produce a cookie equivalent to "key=value; SameSite=Lax".
Cookies that require cross-site delivery can explicitly opt-into
such behavior by asserting "SameSite=None" when creating a
cookie.
2. Require the "Secure" attribute to be set for any cookie which
asserts "SameSite=None" (similar conceptually to the behavior for
the "__Secure-" prefix). That is, the "Set-Cookie" value
"key=value; SameSite=None; Secure" will be accepted, while
"key=value; SameSite=None" will be rejected."

Bug: https://bugzilla.mozilla.org/show_bug.cgi?id=1551798

Platform coverage: all

Estimated or target release: 69 - behind pref

Preferences behind which this will be implemented:
- network.cookie.sameSite.laxByDefault
- network.cookie.sameSite.noneRequiresSecure (this requires the previous
one to be set to true)

Is this feature enabled by default in sandboxed iframes? yes.

Do other browser engines implement this?
- Chrome is implementing/experimenting this feature:
https://blog.chromium.org/2019/05/improving-privacy-and-security-on-web.html
- Safari: no signal yet.

web-platform-tests: There is a pull-request
https://github.com/web-platform-tests/wpt/pull/16957
Implementing this feature, I added a mochitest to inspect cookies via
CookieManager.

Is this feature restricted to secure contexts? no
已删除帖子
已删除帖子
已删除帖子
已删除帖子
已删除帖子
已删除帖子
已删除帖子

jmu...@parrastu.catholic.edu.au

未读,
2019年10月31日 19:41:062019/10/31
收件人
On Thursday, 23 May 2019 18:34:14 UTC+10, Andrea Marchesini wrote:
> Link to the projchdfuao uo p;a ciwgbyis ygidq aurotuoeaip gup vygiupgayei whejioyopuas9rqyw9e-fyes09uya90explicit "SameSite" attribute as
已删除帖子
已删除帖子
已删除帖子
已删除帖子

23gpaga...@dc-tech.org

未读,
2019年11月7日 18:43:122019/11/7
收件人
how you are

vitinh...@gmail.com

未读,
2019年11月10日 11:53:202019/11/10
收件人

brin...@gmail.com

未读,
2019年11月13日 23:26:282019/11/13
收件人
ЧО КАВО КРЕК?

P.S.-Я ШРЕК

已删除帖子

anatol...@gmail.com

未读,
2019年11月15日 20:11:162019/11/15
收件人
已删除帖子
已删除帖子

abdulwah...@gmail.com

未读,
2019年11月21日 12:32:062019/11/21
收件人

jdwri...@gmail.com

未读,
2019年11月25日 12:51:212019/11/25
收件人
I was just messing around in Italian class how did I get here?

jdwri...@gmail.com

未读,
2019年11月25日 12:53:382019/11/25
收件人
AAAAAAAAAAAAAAAAaaaa WHERE AM I

raqu...@gmail.com

未读,
2019年12月3日 15:10:212019/12/3
收件人
sou curiosa, estou busca de trabalho na área tecnologia, alguém pode me indicar, curso de web! boa tarde

natnael.h...@kindcentrumoranje-nassau.nl

未读,
2019年12月10日 05:12:022019/12/10
收件人
Op donderdag 23 mei 2019 10:34:14 UTC+2 schreef Andrea Marchesini:

hchai...@gmail.com

未读,
2019年12月15日 16:13:142019/12/15
收件人

hani...@gmail.com

未读,
2019年12月16日 08:43:042019/12/16
收件人

karlhe...@gmail.com

未读,
2019年12月18日 05:01:022019/12/18
收件人

karlhe...@gmail.com

未读,
2019年12月18日 05:02:362019/12/18
收件人

inletexp...@gmail.com

未读,
2019年12月19日 00:39:472019/12/19
收件人

go37...@gmail.com

未读,
2020年1月4日 23:23:152020/1/4
收件人

go37...@gmail.com

未读,
2020年1月4日 23:27:512020/1/4
收件人
On Sunday, 3 November 2019 04:32:16 UTC+8, 001m...@gmail.com wrote:
> <001M
> >HTML. Is save Thanks

go37...@gmail.com

未读,
2020年1月4日 23:28:092020/1/4
收件人
On Friday, 8 November 2019 07:43:12 UTC+8, 23gpaga...@dc-tech.org wrote:
> how you are

go37...@gmail.com

未读,
2020年1月4日 23:28:302020/1/4
收件人

go37...@gmail.com

未读,
2020年1月4日 23:28:442020/1/4
收件人
On Monday, 18 November 2019 17:05:34 UTC+8, 07ma...@elev.kungalv.se wrote:

go37...@gmail.com

未读,
2020年1月4日 23:29:182020/1/4
收件人

go37...@gmail.com

未读,
2020年1月4日 23:29:322020/1/4
收件人

go37...@gmail.com

未读,
2020年1月4日 23:29:442020/1/4
收件人
On Sunday, 5 January 2020 12:27:51 UTC+8, go37...@gmail.com wrote:

go37...@gmail.com

未读,
2020年1月4日 23:30:162020/1/4
收件人
On Thursday, 23 May 2019 16:53:19 UTC+8, Frederik Braun wrote:
> Having read the proposal, I think it's a good mechanism for us to know
> about websites that want third-party cookies and it seems less costly to
> deploy for websites than Storage Access API.
>
> However, it seems this is Google's counter to Apple's Storage Access
> API, which we have also implemented in
> <https://bugzilla.mozilla.org/show_bug.cgi?id=1469714>.
>
> What's our plan here? Offer both and find out what's going to get more
> traction?
>
> Am 23.05.19 um 10:33 schrieb Andrea Marchesini:
> > _______________________________________________
> > dev-platform mailing list
> > dev-pl...@lists.mozilla.org
> > https://lists.mozilla.org/listinfo/dev-platform
> >

go37...@gmail.com

未读,
2020年1月4日 23:30:322020/1/4
收件人
On Thursday, 23 May 2019 17:40:10 UTC+8, Mike West wrote:
> On Thu, May 23, 2019 at 10:53 AM Frederik Braun <fbr...@mozilla.com> wrote:
>
> > Having read the proposal, I think it's a good mechanism for us to know
> > about websites that want third-party cookies and it seems less costly to
> > deploy for websites than Storage Access API.
> >
> > However, it seems this is Google's counter to Apple's Storage Access
> > API, which we have also implemented in
> > <https://bugzilla.mozilla.org/show_bug.cgi?id=1469714>.
> >
>
> IMO, these are not at all mutually exclusive. Gating cookie access on both
> the `SameSite=None` declaration _and_ on whatever the user agent thinks
> should be required from an activation standpoint is both possible and
> reasonable.
>
> -mike

go37...@gmail.com

未读,
2020年1月4日 23:30:522020/1/4
收件人
On Thursday, 24 October 2019 00:49:28 UTC+8, 2027grue...@aaps.k12.mi.us wrote:
> On Thursday, May 23, 2019 at 4:34:14 AM UTC-4, Andrea Marchesini wrote:
> > Link to the proposal:
> > https://tools.ietf.org/html/draft-west-cookie-incrementalism-00
> >
> > Summary:yo dudes. were dem cookies at

go37...@gmail.com

未读,
2020年1月4日 23:31:152020/1/4
收件人
On Sunday, 3 November 2019 05:48:57 UTC+8, 001m...@gmail.com wrote:
> Asi O es mejor +
> A cookie associated with a resource at http://trc.taboola.com/ was set with `SameSite=None` but without `Secure`. A future release of Chrome will only deliver cookies marked `SameSite=None` if they are also marked `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5633521622188032.
>
>
>
> Add:lpcres.delve.office.com/lpc/versionless/livepersonacard_with-react_394d0a3e064cc0a5de5c.js:16 Some icons were re-registered. Applications should only call registerIcons for any given icon once. Redefining what an icon is may have unintended consequences. Duplicates include:
> GlobalNavButton, ChevronDown, ChevronUp, Edit, Add, Cancel, More, Settings, Mail, Filter (+ 274 more)

go37...@gmail.com

未读,
2020年1月4日 23:31:302020/1/4
收件人

go37...@gmail.com

未读,
2020年1月4日 23:31:542020/1/4
收件人
On Monday, 16 December 2019 05:13:14 UTC+8, hchai...@gmail.com wrote:

tre...@gmail.com

未读,
2020年1月7日 12:48:592020/1/7
收件人

tre...@gmail.com

未读,
2020年1月7日 12:52:462020/1/7
收件人

hcha...@gmail.com

未读,
2020年1月10日 05:18:592020/1/10
收件人

recruit...@gmail.com

未读,
2020年1月16日 12:09:372020/1/16
收件人

lexyand...@gmail.com

未读,
2020年1月17日 03:22:492020/1/17
收件人

cabez...@gmail.com

未读,
2020年1月25日 19:28:062020/1/25
收件人
已删除帖子

11to...@gmail.com

未读,
2020年2月3日 13:26:582020/2/3
收件人

miri...@gmail.com

未读,
2020年2月4日 00:07:322020/2/4
收件人
On Thursday, May 23, 2019 at 1:34:14 AM UTC-7, Andrea Marchesini wrote:

one...@gmail.com

未读,
2020年2月11日 17:41:162020/2/11
收件人

wearepeac...@gmail.com

未读,
2020年2月14日 10:33:312020/2/14
收件人
четверг, 23 мая 2019 г., 16:34:14 UTC+8 пользователь Andrea Marchesini написал:
?????
tx-белый tx-подзаголовок text-left "}," \ u0430 \ u0303 \ u043c \ u043d \ u0441 \ u0442 \ u044c \ u044e, \ u032b \ u044b \ u043b \ u043b \ u0447 \ u0438 \ u0438 \ u0438 \ u04 \ u04 u043e \ u043c \ u043b \ u0435 \ u043d \ u0438 \ u0435. "SacreateElement ( "ш", нуль), this.getLeftSympathy ()> 0 && s.a.createElement ( "пролет", нулевой sacreateElement (A, {номер: this.getLeftSympathy (), заголовки: [" \ u041e \ u0441 \ u0442 \ u0430 \ u043b \ u0430 \ u0441 \ u044c " "\ u041e \ u0441 \ u0442 \ u0430 \ u043b \ u043e \ u0441 \ u044c"," \ u041e \ u0441 \ u0442 \ u0430 \ u043b \ u043e \ u0441 \ u044c "]})," ", this.getLeftSympathy ()," ", sacreateElement (A, {number: this.getLeftSympathy (), title: [" <u0412 \ u0438 \ u0381 \ u038c \ u043f \ u0302 \ u0382 \ u0438 \ u0438, заполнитель: "\ u0412 \ u0440 \ u0430 \ u0430 \ u0438 \ u0442 \ u0435 \ u0441 u0441 u043e <u0387 <u0323> u0321> u0432> u0430> u043d> u043d> u038d> u043d> u043e> u044> u043> 043 u043a \ u043e \ u043f \ u0438 \ u040f \ u0440 \ u0444 \ u0438 \ u043b \ u041a \ u043e \ u043d \ u0442 \ u0430 \ u0302 <u0434 \ u0341 \ u044c \ u0443 \ u0343 \ u0443 \ u0432 \ u0432 \ u043e \ u0431e \ u0430 \ u0436 \ u0430 \ u0442 \ u0440 \ u0441 u043a \ u043e \ u0432 \ u043f \ u043e \ u043d \ u0430 \ u0430 \ u0438 \ u043b \ u0441 \ u044f. \ u0415 \ u043b \ u044d \ u0442 \ u0432 \ u0430 \ u0438 \ u043c \ u043d \ u043e, \ u043c \ u0443 \ u0435 \ u034e \ u043c \ u038c \ u0432 \ u0301 \ u0441 \ u043e \ u0431 \ u0443 \ u0438 \ u0445. \ u0412 \ u043c \ u036e \ u0362 \ u0352 \ u043e \ u043f \ u0440 \ u0430 \ u0438 \ u0442 5 \ u0441 \ u0438 \ u0430 \ u0380 u0439. "})," super-sympathy "=== t && s.a.createElement (D, {users: e.props.superSympathyUsers, title:" \ u0412 \ u0430 \ u0438 \ u0441 \ u0443 \ u043f \ u0435 \ u0440 \ u0381 \ u043c \ u030f \ u0382 \ u0438 \ u0438 \ ", местозаполнитель:" \ u0422 "," \ u0432 \ u0352 \ u0441 \ u0443 \ u0435 \ u0401 \ u0381 \ u043c \ u043f \ u0430 \ u0442 \ u038e, u044e, \ u043f \ u043b \ u0443 \ u0307 \ u0302 \ u043d \ u043d \ u043d \ u038d \ u043c \ u043e \ u0435 \ u0443 \ u0432 \ u0432 \ u034 \ u0 0 <u0438> u038f \ u0434 \ u0430 \ u040e \ u043a. \ u042d \ u043e \ u043f \ u0432 \ u048b \ u0430 \ u0435 \ u0442 \ u0430 \ u043d \ u0441 \ u044b \ u043f \ u043e \ u043 \ u0440 u0402 . \ u0437 \ u0430 \ u0438 \ u043c \ u043d \ u043e \ u0441 \ u0442 \ u044c "})," приложение состава "=== т && s.a.createElement ($ {secretMatchAllowed: e.state.secretMatchAllowed}), "Ловина-промо" === т && s.a.createElement (W, {secretMatchAllowed: e.state.secretMatchAllowed}), "секрет-симпатия" === т && 0 == о && s.a.createElement (X, {закончился: e.props.appEnded, граф: о}))}), this.props.appEnded && s.a.createElement ( "ДИВ", нулевой sacreateElement ($,

amarc...@mozilla.com

未读,
2020年2月27日 13:13:302020/2/27
收件人
Hi everyone,

here is something more about cookies sameSite=lax by default.

In order to test this feature properly and to see the level of breakage introduced, we've decided to enable it in nightly.

Bug: https://bugzilla.mozilla.org/show_bug.cgi?id=1604212

This feature is partially covered by web-platform-tests:
https://searchfox.org/mozilla-central/source/testing/web-platform/tests/cookies/samesite-none-secure
https://searchfox.org/mozilla-central/source/testing/web-platform/tests/cookies/samesite

As you know, Chrome is already rolling out this feature: it's active for 1% of their population.

I filed a meta bug to collect breakages - https://bugzilla.mozilla.org/show_bug.cgi?id=1618610

francoel...@gmail.com

未读,
2020年2月29日 08:15:532020/2/29
收件人
so che siete dei bugiardi e vi scopriranno presto i carabinieri

F R A N C I S

未读,
2020年3月2日 02:30:152020/3/2
收件人
El jueves, 23 de mayo de 2019, 4:34:14 (UTC-4), Andrea Marchesini escribió:

kolony...@gmail.com

未读,
2020年3月5日 15:45:172020/3/5
收件人
23 Mayıs 2019 Perşembe 11:34:14 UTC+3 tarihinde Andrea Marchesini yazdı:

yucaga...@gmail.com

未读,
2020年3月6日 13:42:402020/3/6
收件人
eae galera
n tirem meu google de mim
porfavor

gabim...@gmail.com

未读,
2020年3月9日 14:01:102020/3/9
收件人
בתאריך יום חמישי, 23 במאי 2019 בשעה 11:34:14 UTC+3, מאת Andrea Marchesini:

thale...@gmail.com

未读,
2020年3月11日 20:03:272020/3/11
收件人
oooooooo aai mi pklasereeeee
3wwre33gtr
h23tytgm

gard...@gmail.com

未读,
2020年3月31日 07:53:102020/3/31
收件人
On Thursday, May 23, 2019 at 4:34:14 AM UTC-4, Andrea Marchesini wrote:
who do we blame this one on ladies no one wants the truth for some reason

kyle.bl...@gmail.com

未读,
2020年3月31日 14:38:502020/3/31
收件人

bb08...@gmail.com

未读,
2020年4月7日 23:10:462020/4/7
收件人
Add me. Hhhh

tysoo...@gmail.com

未读,
2020年4月11日 09:32:102020/4/11
收件人
در پنجشنبه 23 مهٔ 2019، ساعت 13:04:14 (UTC+4:30)، Andrea Marchesini نوشته:

maksga...@gmail.com

未读,
2020年4月13日 12:40:432020/4/13