Влияет ли атрибут Domain на SameSite для http cook ie?

Question

Будет ли запрос CORS устанавливать / отправлять повара ie с SameSite=Strict, если атрибут домена повара ie установлен в домене клиента?

Например, если я сделаю запрос От cors.com до cors-api.com, позволит ли эта конфигурация настроить и отправить моего повара ie?

Set-Cookie: MY_KEY=<MY_VALUE>; Secure; HttpOnly; Domain=cors.com; SameSite=Strict;

Answer 1

Нет, вы не можете установить значение Domain, которое не соответствует сайту, на котором настроен повар ie - браузер должен это отклонить.

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie#Invalid_domains

Domain используется для контроля отправки сообщения повара ie для поддоменов исходного сайта.

https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#Scope_of_cookies

Если вы если файлы cookie отправляются в межсайтовом контексте, они должны быть установлены с SameSite=None; Secure.