如何将SameSite属性自动添加到我的Asp.net_SessionID cookie中？

最近samesite = lax自动添加到我的会话cookie中！此属性仅添加到sessionID中： "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

我的网站托管在IIS 8.5，Windows 2012 R2上，没有WAF或UrlRewrite，因此我关闭了AntiVirus（kasper）。

但在某些客户服务器上也有同样的问题。

任何的想法？

编辑： 我发现了这个：https : //support.microsoft.com/en-us/help/4524419/kb4524419

现在，当HttpCookie.SameSite值为“ None”时，ASP.NET将发出SameSite cookie标头，以适应即将在Chrome中对SameSite cookie处理进行的更改。作为此更改的一部分，尽管可以在web.config中覆盖这些值，但FormsAuth和SessionState cookie也将使用SameSite ='Lax'发出，而不是以前的默认值'None'。

如何在web.config中为SessionState覆盖samesite cookie？我添加了这一行，但不适用于SessionID cookie！ <httpCookies sameSite="Unspecified" />

编辑：我发现了这个：https : //docs.microsoft.com/zh-cn/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

通过SessionState标记的“ cookieSameSite”属性为状态服务器设置相同站点。

为sameSite = None，Lax或Strict将这些选项添加到web.config

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

我无法使用重写，因为未在所有客户服务器上都安装UrlRewrite。

最后，我将cookieSameSite添加到我的web.config中：

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

CookieSameSite属性不适用于许多较旧的框架。如果您的环境不支持接受的答案，请继续阅读！

我对几个SO答案进行了修改，以提出此​​URL重写，该URL重写会添加SameSite=None到会话Cookie中，并且还会SameSite=None从所有 URL中删除不兼容的浏览器的 cookie中。重写的目的是保留Chrome 80之前的“旧版”行为。

我的Coder Frontline博客中的完整文章：

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

尽管较新的Frameworks具有适当的代码和配置选项可让您控制此行为，但它对大多数ASP .Net和ASP .Net Core应用程序均适用。我建议您在使用上面的重写之前，先研究所有可用的选项。

最后更新： zemien的答案比我的答案更全面和完整。因为它根据用户代理设置cookie。

我的答案：

您可以通过以下方式，用web.config中的ASP.NET_SessionId将SameSite = Lax替换为SameSite = None：

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

更新： 为防止IOS问题，请更换

<action type="Rewrite" value="{R:1};SameSite=None" />

与

<action type="Rewrite" value="{R:1};" />

@zemien您的解决方案正确解决了我们的Google Chrome问题

我们有一个集成，其中我们的应用程序嵌入在第三方的iframe中。2020年2月4日发布的Chrome版本80阻止了cookie的加载。

但是，我必须修改模式以捕获所有cookie，添加Secure标志，并且要不对本地非https环境在本地主机上应用重写的条件

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

为我工作。添加到我的web.config文件中：

<sessionState cookieSameSite="None"></sessionState>

升级到.Net Framework 4.8 +安装补丁：2019-12适用于Windows 10版本1909 x64的.NET Framework 3.5和4.8的累积更新（KB4533002）