SameSite属性中断SAML流

Question

Chrome 80将引入一个新属性SameSite。

• 严格-仅针对“同一站点”请求附加cookie。
• Lax-使用安全的HTTP方法，例如，针对“同一站点”的请求发送cookie，以及“跨站点”的顶级导航。 （获取头部选项跟踪）。
• 无-针对所有“同一站点”和“跨站点”请求发送cookie。

有关详细信息，this article很好地解释了SameSite。

从Azure文档：

云服务（服务提供者）使用HTTP重定向绑定将AuthnRequest（身份验证请求）元素传递到Azure AD（身份提供者）。然后，Azure AD使用HTTP发布绑定将Response元素发布到云服务]

我的问题是，为什么SameSite中断SAML流？ 🔍"saml" samesite problem

当IdP POST响应返回SP时，如果SameSite = Lax，则用户代理将不会发送具有SP域的cookie。即使它不发送cookie，我也看不到SP有任何问题。

Answer 1

>> Even if it does not send cookies I don't see there is any problem with SP.

如果未使用SameSite = None正确设置IdP cookie，则不会根据SP的请求将其发送到IdP，并且将要求用户再次登录IdP。

来源：https://support.okta.com/help/s/article/FAQ-How-Chrome-80-Update-for-SameSite-by-default-Potentially-Impacts-Your-Okta-Environment