2020-06-05 16:11

牛叉!

2020-06-05 14:16

注意,第3种方法,前提是不能有重复的cookie,若有Controller.setCookie操作要去掉。

2020-06-05 14:14

备忘:

1、后台语言的支持程度
目前还没有哪个后台语言的 API 支持了 SameSite 属性,比如 php 里的 setcookie 函数,或者 java 里的 java.net.HttpCookie 类,如果你想使用 SameSite,需要使用更底层的 API 直接修改 Set-Cookie 响应头。Node.js 本来就没有专门设置 cookie 的 API,只有通用的 setHeader 方法,不过 Node.js 的框架 Express 已经支持了 SameSite。

2、尝试创建全局Handler对所有response中的cookie抓出来增加samesite属性。
尝试失败。
原因有3:
(1)HttpServletResponse不允许获取cookie,更无法修改cookie内容
(2)HttpServletResponse中,getHeaders只对setHeader(和addHeader)的内容起效,无法获取Set-Cookie内容。因此无法修改。


3、强行不用addCookie方法,用addHeader可行
用addHeader("Set-Cookie", "...")强行设置cookie虽然header里面出现了一个set-Cookie值,且浏览器不再报警。
sameSite属性也正常设置。

... 的内容:
String c = LoginService.COOKIE_SESSION_NAME+"="+sessionId+"; path=/; HttpOnly; Max-Age=604800; Expires=Fri, 12-Jun-2020 05:44:18 GMT; sameSite=Lax";

注意点:addHeader或setHeader里面的value字符串,不论何种类型,不能带任何引号。

有扰了。

2020-06-04 16:40

@JFinal 好的。目前对项目没有影响。

只是想找个解决方案,但刚才尝试了其它方式也不行。比如getHeader、setHeader只针对自定义header参数,系统内定的参数,servlet还是进行了相当的防注入措施。

2020-06-04 16:19

@JFinal
另外,如果之前设置过该cookie的secure值为true,后来改回原代码(不指定sameSite和secure属性,相当于只有sameSite=none)的情况下

浏览器不再传回cookie里面的value值sessionId,会导致登录失败。

2020-06-04 16:11

@zsw大伟 的确,需要一键把从分享移动到反馈的功能。抽空做一个 :P

2020-06-04 16:09

@JFinal
后续跟进

1、setCookie("myCookie", "myValue; saveSite=...");这种方式似乎无效
doLogin代码改成:
setCookie(LoginService.sessionIdName, sessionId + "; sameSite=lax", maxAgeInSeconds, true);
这会导致cookie响应中value多一个引号,同时samesite还是none。

原来,原始头里面的set-cookie是这样的:
jfinalid="d5e7b94296534ef8aad6d16dd2b9cb08 ; sameSite=Lax"; Version=1; Path=/; HttpOnly; Max-Age=604800; Expires=Thu, 11-Jun-2020 07:49:28 GMT

2、没事,继续糊弄浏览器,中间插入双引号分别闭合试试:
setCookie(LoginService.COOKIE_SESSION_NAME, sessionId + "\"; sameSite=\"lax", maxAgeInSeconds, true);

header里面竟然没有转义
Set-Cookie: jfinalid="0c7988af91e04c6fb2d2d6190551591a\" ; sameSite=\"Lax"; Version=1; Path=/; HttpOnly; Max-Age=604800; Expires=Thu, 11-Jun-2020 07:53:56 GMT

3、接着来
setCookie(LoginService.COOKIE_SESSION_NAME, sessionId + "' ; sameSite='Lax", maxAgeInSeconds, true);

Set-Cookie: jfinalid="50798adf661c43648b8090737adc51c9\" ; sameSite=\"Lax"; Version=1; Path=/; HttpOnly; Max-Age=604800; Expires=Thu, 11-Jun-2020 07:58:50 GMT

4、不折腾了,还是自建Cookie,setSecure(true)完事。

5、Login可以手工修改,Jfinal的CaptchaRender里面依然有这个问题。

2020-06-01 12:20

@JFinal 是后者,原有cookie上的新属性
哈哈~没想到还可以这样解决~巧妙!...header毕竟文本...

2020-05-28 21:27

@JFinal 补充一下:Undertow的Cookie里面是有sameSite属性的

2020-05-27 20:24

@JFinal
测试:针对LoginController里面的doLogin()方法中的setCookie代码:
setCookie(LoginService.sessionIdName, sessionId, maxAgeInSeconds, true);

注:LoginService.sessionIdName = "jfinalId"

经过测试,无法通过简单调用controller里面的setCookie来设置sameSite属性,这个方法其实是添加了一个新的cookie,其key="sameSite",而不是给key="jfinalId"的这个cookie设置属性。
正确的做法应该是new 一个Cookie cookie,再给cookie设置sameSite,可惜的是,Jfinal中引入的Cookie为javax.servlet.http.Cookie,这个类里面不存在sameSite属性。

研究了文档,采用了2重解决方案。
1、尝试创建了一个BaseCookie继承自Cookie,给BaseCookie增加sameSite属性,然后给新的BaseCookie baseCookie设置setSameSite("Lax"),然后调用response的addCookie(baseCookie)。
结果是,sameSite属性并未加入到响应头的cookie中,研究了代码,发现原因是addCookie方法是安全克隆,过滤掉了没有的属性。
方法1失败。
2、退而求其次,简单一点直接设置secure属性为真。
cookie.setSecure(true),然后addCookie,控制台的这个提示就消失了。
感觉这个方法并不是很安全。
===============
简单结论:
1、可能目前引入的servlet的版本还不支持sameSite,Cookie是否有、或需要新版本,尚未深入研究;
2、Jfinal核心组件CaptchaRender里面直接set了_jfinal_captcha这个cookie,这段代码要从Jfinal层面进行修改,这次没有尝试;
3、在LoginController里面的doLogin()方法中,对Cookie进行setSecure操作可去掉控制台报警,我暂时采用这个方式解决。只是临时解决。
4、上文提到的方法1,可能从Jfinal层面会有比较好的解决。

2020-05-27 17:31

好的,我就用setCookie("SameSite", "Lax");解决