jak atrybut SameSite został automatycznie dodany do mojego pliku cookie Asp.net_SessionID?

Ostatnio samesite = luźne automatyczne dodawanie do mojego pliku cookie sesji! ten atrybut wystarczy dodać do sessionID: "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

Moja witryna jest hostowana w IIS 8.5, Windows 2012 R2 i nie ma WAF ani UrlRewrite, a ja wyłączam program antywirusowy (kasper).

ale mimo to mają ten sam problem na niektórych serwerach klientów.

dowolny pomysł?

ZMIENIONO: Znajduję to: https://support.microsoft.com/en-us/help/4524419/kb4524419

ASP.NET będzie teraz emitować nagłówek pliku cookie SameSite, gdy wartość HttpCookie.SameSite ma wartość „Brak”, aby uwzględnić nadchodzące zmiany w obsłudze plików cookie SameSite w Chrome. W ramach tej zmiany pliki cookie FormsAuth i SessionState będą również wydawane z SameSite = „Lax” zamiast poprzedniej wartości domyślnej „None”, chociaż te wartości można zastąpić w pliku web.config.

Jak mogę zastąpić pliki cookie Samesite dla SessionState w pliku web.config? dodałem ten wiersz, ale nie działa na SessionID cookie! <httpCookies sameSite="Unspecified" />

ZMIENIONO: Znajduję to: https://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

Ustaw samesite dla stateserver za pomocą atrybutu „cookieSameSite” znacznika SessionState.

Dodaj te opcje do web.config dla sameSite = None, Lax lub Strict

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

Nie mogę użyć przepisywania, ponieważ UrlRewrite nie jest zainstalowany na wszystkich serwerach moich klientów.

Na koniec dodaję cookieSameSite do mojego pliku web.config:

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

Atrybut CookieSameSite nie jest dostępny dla wielu starszych platform. Jeśli jesteś w sytuacji, gdy zaakceptowana odpowiedź nie jest obsługiwana w twoim środowisku, czytaj dalej!

Zmodyfikowałem kilka odpowiedzi SO, aby wymyślić przepisywanie adresów URL, które dodaje SameSite=Nonesesyjne pliki cookie, a także usuwam SameSite=Noneze wszystkich plików cookie w większości niezgodnych przeglądarek. Celem tego przepisania jest zachowanie „starszego” zachowania sprzed Chrome 80.

Pełny opis na moim blogu Coder Frontline :

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

Powinno to działać w przypadku większości aplikacji ASP .Net i ASP .Net Core, chociaż nowsze platformy mają odpowiedni kod i opcje konfiguracji umożliwiające kontrolowanie tego zachowania. Przed użyciem mojego przepisywania powyżej poleciłbym zbadanie wszystkich dostępnych opcji.

Ostatnia aktualizacja: odpowiedź zemien jest bardziej wyczerpująca i kompletna niż moja. ponieważ ustawia cookie na podstawie agenta użytkownika.

Moja odpowiedź:

Możesz zamienić SameSite = Lax na SameSite = None dla ASP.NET_SessionId w web.config w następujący sposób:

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

Aktualizacja: aby zapobiec problemowi z IOS , wymień

<action type="Rewrite" value="{R:1};SameSite=None" />

z

<action type="Rewrite" value="{R:1};" />

@zemien Twoje rozwiązanie poprawnie rozwiązało nasze problemy z Google Chrome

Mamy integrację, w której nasza aplikacja jest osadzona w ramce iframe na stronie trzeciej. Wersja Chrome 80 wydana 4 lutego 2020 roku uniemożliwiła ładowanie plików cookie.

Musiałem jednak zmodyfikować wzorzec, aby przechwycić wszystkie pliki cookie, dodać flagę Bezpieczne i warunek, aby nie stosować przepisywania na localhost dla naszego lokalnego środowiska innego niż https

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

Pracuje dla mnie. Dodano do mojego pliku web.config:

<sessionState cookieSameSite="None"></sessionState>

Uaktualnij do .NET Framework 4.8 + poprawka instalacyjna: Zbiorcza aktualizacja 2019-12 dla .NET Framework 3.5 i 4.8 dla Windows 10 wersja 1909 dla x64 (KB4533002)