SameSite属性がAsp.net_SessionID Cookieに自動的に追加される方法

最近samesite = laxがセッションCookieに自動的に追加されます！この属性は単にsessionIDに追加します。 "Set-Cookie ASP.NET_SessionId=zana3mklplqwewhwvika2125; path=/; HttpOnly; **SameSite=Lax**"

私のWebサイトはIIS 8.5、Windows 2012 R2でホストされており、WAFまたはUrlRewriteがなく、AntiVirus（kasper）をオフにしています。

しかし、まだいくつかの顧客サーバーで同じ問題があります。

何か案が？

編集： 私はこれを見つけます：https : //support.microsoft.com/en-us/help/4524419/kb4524419

ASP.NETは、HttpCookie.SameSite値が「なし」の場合にSameSite Cookieヘッダーを発行し、ChromeでのSameSite Cookie処理に対する今後の変更に対応します。この変更の一部として、FormsAuthおよびSessionState Cookieも、以前のデフォルトの「None」ではなくSameSite = 'Lax'で発行されますが、これらの値はweb.configでオーバーライドできます。

web.configでSessionStateの同じサイトのCookieを上書きするにはどうすればよいですか？この行を追加しましたが、SessionID Cookieでは機能しません！ <httpCookies sameSite="Unspecified" />

編集：私はこれを見つけます：https ://docs.microsoft.com/en-us/dotnet/api/system.web.configuration.sessionstatesection.cookiesamesite?view=netframework-4.8#System_Web_Configuration_SessionStateSection_CookieSameSite

SessionStateタグの「cookieSameSite」属性によって、stateserverのsamesiteを設定します。

sameSite = None、LaxまたはStrictのweb.configにこれらのオプションを追加します

<system.web>
    <httpCookies sameSite="None"/>
    <sessionState cookieSameSite="None" />
    <authentication mode="Forms">
        <forms cookieSameSite="None" />
    </authentication>

UrlRewriteがすべての顧客サーバーにインストールされていないため、書き換えを使用できません。

最後に、cookieSameSiteをweb.configに追加します。

<sessionState mode="StateServer" cookieSameSite="None" sqlConnectionString="data source=(local);user id=sa;password=" cookieless="false" timeout="20" />

CookieSameSite属性は、多くの古いフレームワークでは使用できません。受け入れられた回答が環境でサポートされていない状況にいる場合は、読んでください！

私はいくつかのSOの回答を変更してSameSite=None、セッションCookieに追加するこのURL書き換えを考え出し、ほとんどの互換性のないブラウザーのすべての Cookie SameSite=Noneから削除しました。この書き換えの目的は、Chrome 80より前の「レガシー」動作を維持することです。

Coder Frontlineブログの完全な記事：

<rewrite>
  <outboundRules>
    <preConditions>
      <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
      <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
        <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
        <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
        <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
      </preCondition>
    </preConditions>

    <!-- Adds or changes SameSite to None for the session cookie -->
    <!-- Note that secure header is also required by Chrome and should not be added here -->
    <rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*ASP.NET_SessionId.*)" />
      <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
      <!-- <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(?=SameSite)" /> -->
      <action type="Rewrite" value="{R:1}; SameSite=None" />
    </rule>

    <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
    <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
      <action type="Rewrite" value="{R:1}" />
    </rule>
  </outboundRules>
</rewrite>

これはほとんどのASP .NetおよびASP .Net Coreアプリケーションで機能しますが、新しいフレームワークには適切なコードと構成オプションがあり、この動作を制御できます。上記の私の書き換えを使用する前に、利用可能なすべてのオプションを調査することをお勧めします。

最終更新： ゼミエンの答えは私のものよりも包括的で完全です。ユーザーエージェントに基づいてCookieを設定するためです。

私の答え：

次の方法で、web.configでASP.NET_SessionIdのSameSite = LaxをSameSite = Noneに置き換えることができます。

<rewrite>
  <outboundRules>
    <rule name="AddSameSiteCookieFlag">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId)(=.*))(SameSite=Lax)" />
      <action type="Rewrite" value="{R:1};SameSite=None" />
    </rule>
  </outboundRules>
</rewrite>

更新：IOSの問題 を防ぐために、

<action type="Rewrite" value="{R:1};SameSite=None" />

と

<action type="Rewrite" value="{R:1};" />

@zemienあなたのソリューションは私たちのGoogle Chromeの問題を正しく解決しました

アプリケーションがサードパーティのiframeに埋め込まれている統合があります。2020年2月4日にリリースされたChromeバージョン80により、Cookieが読み込まれませんでした。

ただし、パターンを変更してすべてのCookieをキャプチャし、Secureフラグを追加し、ローカルのhttps以外の環境のlocalhostに書き換えを適用しないようにする必要がありました。

<rule name="SessionCookieAddNoneHeader">
      <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=.*)?" />
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false">
        <add input="{HTTP_HOST}" pattern="localhost" negate="true" />
      </conditions>
      <action type="Rewrite" value="{R:1}; SameSite=None; Secure" />
</rule>

私のために働く。私のweb.configファイルに追加：

<sessionState cookieSameSite="None"></sessionState>

.NET Framework 4.8 +インストールパッチへのアップグレード：2019-12 x64用Windows 10バージョン1909の.NET Framework 3.5および4.8の累積的な更新（KB4533002）