时间戳

首页 > 解决方案 > 为什么当我单击链接时我的网络浏览器不发送 cookie，但是当我输入 url 时它发送它们就好了

google-chrome - 为什么当我单击链接时我的网络浏览器不发送 cookie，但是当我输入 url 时它发送它们就好了

问题描述

我正在用 Golang/HTML 创建一个 Web 应用程序。我正在实施注册、会话、电子邮件验证和登录。

我的代码有效，但是我注意到一些奇怪的浏览器行为。当用户第一次注册时，我的应用程序将向他们发送一封电子邮件，其中包含一个链接，该链接在 url 中有一个唯一的 nonce（使用一次的数字）。这是为了确保用户能够在该地址接收我们的电子邮件并“验证他们的电子邮件”，这是许多 Web 应用程序的标准做法。

Please click the following link to verify your account: http://localhost:8080/verify-email/55c17d2c

我注意到当我收到这封电子邮件时，如果我单击电子邮件中的链接，浏览器将按预期在新选项卡中打开该链接，但是，它不会在与该选项卡关联的请求上发送任何 cookie。

但是，当我手动将链接复制并粘贴到新选项卡中并按 Enter 时，它会很好地发送 cookie。是什么赋予了？这是某种未记录的安全功能吗？我该怎么办？

我使用https://github.com/six-ddc/httpflow 来捕获在我的 Web 浏览器和服务器应用程序之间传输的 HTTP 请求和响应的日志。我有两个单独的日志，其中一个捕获了我单击链接的注册流程，另一个捕获了我将链接复制并粘贴到新选项卡中的注册流程。

单击电子邮件中的链接的日志：https ://paste.cyberia.club/~forest/2f3fce7dcc71fc095341eeaefb33f20883c79886

将链接从电子邮件复制并粘贴到 URL 栏中的日志：https ://paste.cyberia.club/~forest/0623f76cfee339e91d2213dd8f4c7710c6fa2797

请注意，我在 firefox 和 google chrome 上试过这个，我也用真实的域和 https 证书尝试过，在所有浏览器和设置中都得到了相同的行为。

这是我的限制：

我希望应用程序在禁用 javascript 的情况下正常工作，但是，如果基于 javascript 的解决方案简单、安全并且使网站更易于使用，我愿意接受它们。例如，我正在使用 javascript 在发送到服务器进行登录之前对客户端的密码进行哈希处理。但是如果 javascript 被禁用，原始密码将被发送。

我不希望用户在单击链接以验证其电子邮件地址后必须再次登录。

我不希望电子邮件地址中的链接代表进入用户帐户的“免费通行证”。我想要求用户在验证他们的电子邮件地址之前已经登录（或以其他方式通过身份验证）。例如，如果有人在目标用户之前窃取了该电子邮件并单击了该链接，我不希望电子邮件窃贼能够接管该帐户。

标签： google-chromehttpgofirefoxcookies

解决方案

糟糕，我刚刚想通了，我希望Lax我的 cookie 上有 SameSite 政策：

https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies#SameSite_attribute

它采用三个可能的值：Strict、Lax 和 None。使用 Strict，cookie 仅发送到与其来源相同的站点；Lax 是类似的，除了当用户导航到 cookie 的源站点时发送 cookie，例如，通过来自外部站点的链接；

推荐阅读