Avviso SameSite Chrome 77

Dall'ultimo aggiornamento, ho riscontrato un errore con i cookie, correlato all'attributo SameSite.

I cookie provengono da sviluppatori di terze parti (Fontawesome, jQuery, Google Analytics, Google reCaptcha, Google Fonts, ecc.)

Gli errori nella console di Chrome sono così.

A cookie associated with a cross-site resource at <URL> was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at <URL> and <URL>.
(index):1 A cookie associated with a cross-site resource at http://jquery.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at http://fontawesome.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at http://google.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at https://google.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at https://www.google.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at http://www.google.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.
(index):1 A cookie associated with a cross-site resource at http://gstatic.com/ was set without the `SameSite` attribute. A future release of Chrome will only deliver cookies with cross-site requests if they are set with `SameSite=None` and `Secure`. You can review cookies in developer tools under Application>Storage>Cookies and see more details at https://www.chromestatus.com/feature/5088147346030592 and https://www.chromestatus.com/feature/5633521622188032.

C'è qualcosa che devo fare nel mio computer o server locale o sono solo alcune funzionalità che dovrebbero implementare nelle versioni future delle loro librerie?

Questo avviso della console non è un errore o un problema reale: Chrome sta semplicemente diffondendo la voce su questo nuovo standard per aumentare l'adozione da parte degli sviluppatori.

Non ha nulla a che fare con il tuo codice. È qualcosa che i loro server web dovranno supportare.

La data di rilascio per una correzione è il 4 febbraio 2020 per: https://www.chromium.org/updates/same-site

Febbraio 2020: Implementazione dell'applicazione per Chrome 80 Stable: gli stessi SameSite per impostazione predefinita e SameSite = Nessuno-richiede-I comportamenti verranno avviati su Chrome 80 Stable per una popolazione iniziale limitata a partire dalla settimana del 17 febbraio 2020 , escluso il Lunedì festa del Presidente degli Stati Uniti. Monitoreremo e valuteremo da vicino l'impatto dell'ecosistema da questa fase iniziale limitata, aumentando gradualmente le implementazioni.

Per la pianificazione completa delle versioni di Chrome, vedi qui .

Ho risolto lo stesso problema aggiungendo nell'intestazione della risposta

response.setHeader("Set-Cookie", "HttpOnly;Secure;SameSite=Strict");

SameSiteimpedisce al browser di inviare il cookie insieme a richieste tra siti. L'obiettivo principale è mitigare il rischio di perdite di informazioni tra le origini. Fornisce inoltre una certa protezione contro gli attacchi di contraffazione di richieste tra siti. I valori possibili per la bandiera sono Lax o Strict.

I cookie di SameSite sono spiegati qui

Si prega di fare riferimento questo prima di applicare qualsiasi opzione.

Spero che questo ti aiuti.

Se stai testando su localhost e non hai il controllo delle intestazioni di risposta, puoi disabilitarlo con un flag chrome.

Visita l'URL e disabilitalo: chrome: // flags / # same-site-by-default-cookies

Devo disabilitarlo perché Chrome Canary ha appena iniziato a far rispettare questa regola a partire da circa V 82.0.4078.2 e ora non sta impostando questi cookie.

Nota: accendo questo flag solo in Chrome Canary che utilizzo per lo sviluppo. È meglio non attivare la bandiera per la navigazione di Chrome ogni giorno per gli stessi motivi per cui Google lo sta introducendo.

Per elaborare la risposta di Rahul Mahadik, questo funziona per MVC5 C # .NET:

AllowSameSiteAttribute.cs

public class AllowSameSiteAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var response = filterContext.RequestContext.HttpContext.Response;

        if(response != null)
        {
            response.AddHeader("Set-Cookie", "HttpOnly;Secure;SameSite=Strict");
            //Add more headers...
        }

        base.OnActionExecuting(filterContext);
    }
}

HomeController.cs

    [AllowSameSite] //For the whole controller
    public class UserController : Controller
    {
    }

o

    public class UserController : Controller
    {
        [AllowSameSite] //For the method
        public ActionResult Index()
        {
            return View();
        }
    }

Risolto aggiungendo crossorigin al tag script.

Da: https://code.jquery.com/

<script
  src="https://code.jquery.com/jquery-3.4.1.min.js"
  integrity="sha256-CSXorXvZcTkaix6Yvo6HppcZGetbYMGWSFlBw8HfCJo="
  crossorigin="anonymous"></script>

Gli attributi di integrità e di origine incrociata vengono utilizzati per il controllo SRI (Subresource Integrity). Ciò consente ai browser di garantire che le risorse ospitate su server di terze parti non siano state manomesse. L'uso di SRI è raccomandato come best practice, ogni volta che le librerie vengono caricate da una fonte di terze parti. Maggiori informazioni su srihash.org