Cookie 往往用来存储用户的身份信息，恶意网站可以设法伪造带有正确 Cookie 的 HTTP 请求，这就是 CSRF 攻击。
举例来说，用户登陆了银行网站
your-bank.com
，银行服务器发来了一个 Cookie。
Set-Cookie:id=a3fWa;
用户后来又访问了恶意网站
malicious.com
，上面有一个表单。
<form action="your-bank.com/transfer" method="POST">
</form>
用户一旦被诱骗发送这个表单，银行网站就会收到带有正确 Cookie 的请求。为了防止这种攻击，表单一般都带有一个随机 token，告诉服务器这是真实请求。
<form action="your-bank.com/transfer" method="POST">
<input type="hidden" name="token" value="dad3weg34">
</form>
这种第三方网站引导发出的 Cookie，就称为第三方 Cookie。它除了用于 CSRF 攻击，还可以用于用户追踪。
比如，Facebook 在第三方网站插入一张看不见的图片。
<img src="facebook.com" style=";">
浏览器加载上面代码时，就会向 Facebook 发出带有 Cookie 的请求，从而 Facebook 就会知道你是谁，访问了什么网站。
二、SameSite 属性
Cookie 的
SameSite
属性用来限制第三方 Cookie，从而减少安全风险。
它可以设置三个值。
Strict
2.1 Strict
Strict
最为严格，完全禁止第三方 Cookie，跨站点时，任何情况下都不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie。
Set-Cookie: CookieName=CookieValue; SameSite=Strict;
这个规则过于严格，可能造成非常不好的用户体验。比如，当前网页有一个 GitHub 链接，用户点击跳转就不会带有 GitHub 的 Cookie，跳转过去总是未登陆状态。
2.2 Lax
Lax
规则稍稍放宽，大多数情况也是不发送第三方 Cookie，但是导航到目标网址的 Get 请求除外。
Set-Cookie: CookieName=CookieValue; SameSite=Lax;
导航到目标网址的 GET 请求，只包括三种情况：链接，预加载请求，GET 表单。详见下表。
2.3 None
Chrome 计划将
Lax
变为默认设置。这时，网站可以选择显式关闭
SameSite
属性，将其设为
None
。不过，前提是必须同时设置
Secure
属性（Cookie 只能通过 HTTPS 协议发送），否则无效。
下面的设置无效。
Set-Cookie: widget_session=abc123; SameSite=None
下面的设置有效。
Set-Cookie: widget_session=abc123; SameSite=None; Secure
三、参考链接
Using the Same-Site Cookie Attribute to Prevent CSRF Attacks
SameSite cookies explained
Tough Cookies
, Scott Helme
Cross-Site Request Forgery is dead!
, Scott Helme
Latest update:
Mar 18, 2021: The flags #same-site-by-default-cookies and #cookies-without-same-site-must-be-secure have been removed from chrome://flags as of Chrome 91, as the behavior is now enabled by default. In Chrome 94, the command-line flag --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure will be removed.
以后内网测试都不能测了...抛弃cookie吧
Latest update:
Mar 18, 2021: The flags #same-site-by-default-cookies and #cookies-without-same-site-must-be-secure have been removed from chrome://flags as of Chrome 91, as the behavior is now enabled by default. In Chrome 94, the command-line flag --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure will be removed.
以后内网测试都不能测了...抛弃cookie吧
请问您现在采用的是什么方法解决本地无法调试代码这个问题呢？我遇到了同样的问题
strict
这个规则过于严格，可能造成非常不好的用户体验。比如，当前网页有一个 GitHub 链接，用户点击跳转就不会带有 GitHub 的 Cookie，跳转过去总是未登陆状态。
这句话什么意思，假如A页面有github链接，我点击链接跳转到github，那github的登陆态和A页面的cookie有什么关系？
strict
这个规则过于严格，可能造成非常不好的用户体验。比如，当前网页有一个 GitHub 链接，用户点击跳转就不会带有 GitHub 的 Cookie，跳转过去总是未登陆状态。
这句话什么意思，假如A页面有github链接，我点击链接跳转到github，那github的登陆态和A页面的cookie有什么关系？
这个意思是当你同时登录A和B（github）两个站点，在A站点点击github链接进行跨站点访问时，如果设置strict，游览器不会把你github的cookie带上，这样你跳转github就是未登录态，此时只能主动刷新页面或者重新登录，实际和A站点的cookie没有关系。
