SameSite = Нет с безопасным взломом iFrame в IE11 - PullRequest
Новая
       43

SameSite = Нет с безопасным взломом iFrame в IE11

0 голосов
/ 12 февраля 2020

С недавними изменениями кажется, что атрибуты SameSite cook ie бросают рывок в мой веб-сайт. Кросс-браузерный iframe, который раньше работал на моем сайте, теперь не работает - даже с SameSite = None; Безопасная передача через iFrame в заголовке ответа.

Я видел очень разные сообщения от людей, которые говорили, что Windows 7 не поддерживает SameSite = none. Другие говорят, что Secure ломает или не ломает его. Но даже текущая документация Microsoft точно не описывает, как Win7 IE11 должен реагировать на SameSite = None.

На данный момент я ищу советы или рекомендации от любого, кто мог бы помочь. Я сделал все, что мог придумать. Это работало раньше и теперь внезапно блокирует iFrame и выдает ошибку 500. Может ли это быть вызвано порядком set-cook ie?

Из некоторых тестов браузера я обнаружил следующее:

Windows 10 - IE11 сломан, Edge сломан, Edge (бета) работает Windows 8.1 - IE11 работает , Edge (бета) работает Windows 8 - IE11 сломан, Edge (бета) работает Windows 7 - IE11 сломан, No Edge

Заголовок ответа Set-Cook ie :
Set-Cookie MySitePersistence=436457226.47873.0000; path=/; httponly; secure; SameSite=none; Secure

Я пытался настроить таргетинг IE непосредственно как предварительное условие перезаписи, используя
<add input="{RESPONSE_Set_Cookie}" pattern="." />
<add input="{RESPONSE_Set_Cookie}" pattern="; SameSite=none" negate="true" />
<add input="{HTTP_USER_AGENT}" pattern="^.*MSIE ([0-9]{1,}[\\.0-9]{0,})*.*$" negate="true" />
<add input="{HTTP_USER_AGENT}" pattern="^.*Trident/.*rv:([0-9]{1,}[\\.0-9]{0,})*.*$" negate="true" />

1 Ответ

0 голосов
/ 13 февраля 2020

Эта проблема возникает из-за того, что Asp .NET_SessionID cook ie отправлялся не всегда из-за новых изменений в файлах cookie, а повар ie теперь имел атрибут SameSite = Lax .

Вы можете установить свойство SameSite для сеанса cook ie в «None» , добавив его в web.config : 

<system.web>     
     <sessionState cookieSameSite="None" />     
</system.web>

Это с исходящими правилами (SameSite = Нет; Безопасный) будет работать. Вы можете сослаться на этот аналогичный поток .

Дополнительная информация для справки:

(1) SameSite в коде для вашего ASP. net приложения

(2) SameSite = слабость в новом мире

(3) SameSite cook ie обновления в ASP. net, или как. Net рамки с декабря изменили мой повар ie использование

...