给Cookie设置SameSite=Lax，不等于禁止所有跨站请求携带它。来自其他站点的顶层导航，如果使用GET等安全方法，仍可能发送该Cookie；排查登录状态时，要先确认请求发生在哪种上下文中。
一条外部链接与一张嵌入图片不同
设用户已登录学习站，再从另一个站点点击链接打开学习站页面，这是顶层导航。另一种情况是在外站页面里加载学习站图片，地址栏并未导航到学习站。MDN说明，Lax的跨站例外同时要求顶层导航和安全方法。
| 场景 | 显式Lax的一般规则 | 需要核对 |
|---|---|---|
| 外站链接跳转到本站GET页面 | 可满足跨站发送例外 | 是否确为顶层导航 |
| 外站fetch请求本站接口 | 不满足顶层导航条件 | 不能只根据URL猜上下文 |
| 外站POST表单跳转本站 | 不满足安全方法条件 | 注意是否显式设置SameSite |
不要把GET接口当成随意执行动作的入口
如果一个GET地址直接完成改邮箱或删除资料，单靠Lax并不能建立正确的操作保护。对会改变状态的操作，应同时设计正确的方法、身份与权限校验以及防伪机制。Cookie发送规则只回答“浏览器带不带这项信息”，不是完整授权结论。
默认行为与显式Lax需要分开记录
部分浏览器在未声明SameSite时采用Lax风格的默认规则，并存在短时间内允许POST带Cookie的兼容情况。排查时应保存实际Set-Cookie头、浏览器版本和设置时间，不能只写“默认就是Lax”。同站与同源也不是同一个概念。
如何设计自己的验证记录
仅在自己的测试域名上准备无副作用的回显端点，分别从外站链接、图片和fetch访问，查看浏览器网络面板中的请求方法、导航类型与Cookie。记录显式Lax和未声明属性两组，不复制真实会话值到报告。本文核对官方规则，未模拟跨站攻击，也未修改本站登录Cookie。
资料来源与继续学习
资料查阅日期：2026年10月14日。示例、阅读练习与操作建议由本站整理。
资料查阅与编辑日期：2026年10月14日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
