设置Cookie阻止我登录WordPress

我在Apache/2.4.29（Ubuntu）18.04的数字海洋水滴上运行WordPress 5.3.2

我的客户请求了以下内容：

通过加密会话传输的所有cookie，特别是会话cookie，应标记为“安全”，并且所有会话信息应通过HTTPS传输

还应在cookie中设置HttpOnly标志

因此，我在虚拟主机中定义了以下内容：

Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure;SameSite=Strict

然后，我测试了头响应，可以看到我的集Cookie已定义

问题是，我现在无法登录WordPress。WordPress说：

错误：浏览器阻止或不支持cookie。你必须 启用Cookie以使用WordPress

---

我做错了什么？

严格的

可能比你想要的更严格，因为这会阻止Cookie在最初的跨站点导航中发送，例如，如果我通过电子邮件向你发送了你博客上某个页面的链接，当你第一次点击该链接时，不会发送

SameSite=Strict

cookies，并且它可能会显示为您未登录

SameSite=Lax

是这里更好的默认值。然后，我将明确查看在您知道所需访问级别的各个cookie上设置

SameSite=Strict

或

SameSite=None

HttpOnly

属性还可以防止JavaScript读取所有服务器端设置的cookie。您的页面上可能有需要此功能的功能

最后，这里的一种笼统的方法可能有点过头了，因为看起来您将把这个片段附加到每个传出的cookie头中，即使是已经包含这些属性的头。这可能会导致一些不可预测的行为。我可以在特定的允许列表的基础上通过检查显式cookie名称来实现这一点，或者我可以修改正则表达式以仅在缺少这些属性时设置它