Google chrome Chrome扩展中的SameSite警告

我们正在致力于Chrome的扩展

从未设置SameSite属性的域读取Cookie

将Cookie写入没有SameSite属性的域

我们已经在manifest.json中为这两个域添加了权限

我们在Chrome浏览器中启用了以下标志

• SameSite默认cookies
• 启用删除SameSite=None Cookie
• 没有SameSite的Cookie必须是安全的

问题

即使启用了标志，我们也能够从其他域读取设置了以下值的cookie。这是预期的吗？如果是，为什么

• 没有SameSite属性
• 使用SameSite=严格

假设扩展在具有域X.com的站点中设置没有SameSite属性的Cookie。当网站（X.com）被关闭时会发生什么

• 通过iframe被另一个扩展占用
• 通过iframe被另一个域名为Y.com的站点使用。 在这两种情况下，cookie是否会与响应一起呈现

来自扩展的请求是否被视为跨站点请求

域中由扩展设置的cookie的行为如何？？这与来自不同域的网站设置cookie时发生的情况类似吗

对manifest.json中的域具有权限的扩展是否能够从另一个域读取cookie，而不考虑SameSite值

---

你好，我很确定这不会起作用，因为chrome扩展在cookie商店之外的运作方式。它将无法读取/写入这些值。

谢谢您的回复。你能详细说明一下吗？？启用这些标志后，我们能够从扩展中读取设置为没有SameSite值的cookie。它在没有任何警告的情况下工作。如果你能告诉我们更多关于你正在谈论的行为，那会很有帮助。我对你的用例不是100%清楚——你应该解释业务流程或产品，或者用户从流程中得到了什么。您所描述的扩展还可以用于构建一个做不光彩事情的广告欺诈扩展，因此澄清这一点很重要。谷歌有一个关于这方面的支持文档@，并标记了如何安全地完成这项工作以及一些潜在的问题。基本上，有些事情“可以做”，但不安全&最终从扩展存储中删除。很高兴尝试澄清或提供详细信息，祝你好运。我们有一些扩展，可以从其他域读取一些未设置SameSite属性的cookie。它还设置了一些没有SameSite cookie的cookie。我想知道将从版本80发布的与SameSite相关的更改如何影响扩展的行为。此外，我们通过iframe加载网站。从80版开始，这些cookie会在浏览器中呈现吗？好问题，我也在研究这个问题，但还远没有弄清楚。今天我遇到了这样一个可能会有所帮助的问题：谢谢你的回复。该线程似乎正在讨论旧版本中所做的更改。我想知道chrome 80版将要发布的SameSite更改是如何影响扩展的。即将到来的更改是，没有SameSite的Cookie将默认为SameSite=Lax。根据该问题/答案，Chrome78及更高版本将发送SameSite=Lax cookies。我想这就是你的问题1的答案。是的，对于SameSite cookies，扩展似乎要遵守特殊规则。参考