HTTP・Web 基礎4 択難易度 応用

SameSite=Lax の Cookie が送られるケースとして正しいのはどれ？

正答

1. 他サイトのフォームから送信された POST リクエスト
2. 他サイトのページに埋め込まれた画像の読み込み
3. 他サイトのスクリプトからの fetch による POST
4. 他サイトのリンクをクリックして遷移した GET リクエスト

解説

SameSite は別サイト起点のリクエストに Cookie を付けるかを制御する属性。Strict は別サイトからのリクエストには一切送らない。Lax は原則送らないが、リンクのクリックのようなトップレベルのページ遷移で、かつ GET など安全なメソッドの場合には送る。そのため Lax でも他サイトからの POST（典型的な CSRF）には Cookie が付かない。画像や fetch などのサブリソース要求はページ遷移ではないので Lax では送られない。None にすると全て送られるが Secure が必須になる。

参考: developer.mozilla.org

cookiesamesitecsrf