Если ты шлешь CORS c include-credentials и сервер это разрешает в pre-flight request -- то куки для destination домена БУДУТ включены. При этом вредонос (с Origin домена) их не увидит -- но это и не нужно. Главное что запрос пройдет в "контексте" пользователя. Так что -- не сказки и автор правильно все сказал. Другое дело в том чтобы вот так выстрелить себе в ногу -- нужно сэмулировать запрещенный функционал на стороне сервере.
July 14, 2020: SameSite cookie enforcement has resumed, with a gradual rollout starting today (July 14) and ramping up over the next several weeks as we continue to monitor overall ecosystem readiness and engage with websites and services to ensure they are prepared for the SameSite labeling policy. The SameSite features are being enabled for Chrome Stable channel users on versions 80 and 81 (who should update Chrome!), 83, as well as the newly released 84. ..... [UPDATE Jan 8, 2021: The modern SameSite behavior (SameSite=Lax by default, SameSite=None requires Secure, and Schemeful Same-Site) will be enabled by default for Android WebView on apps targeting Android S and newer. Existing apps will not be affected until they choose to update to target Android S. Android S has not yet been released. Existing apps can be tested with the new modern SameSite behavior by toggling the flag webview-enable-modern-cookie-same-site in the developer UI.] This does not apply to Chrome browser on Android, which will begin to enforce the new SameSite rules at the same time as the desktop versions of Chrome. The new SameSite behavior will not affect Chrome on iOS.
До видео у меня был всего один вопрос, а теперь их целая гора
Спасибо, вы ответили на мой вопрос. Автор молодец.
отличный доклад
великолепно
+
14:33 сказки. Ничего там баннер не отправит. На всех куках указан явно домен + secure. Ничего там баннер не вышлет
Этому видео 7 лет....
@@moscowjs не глянул дату...
Если ты шлешь CORS c include-credentials и сервер это разрешает в pre-flight request -- то куки для destination домена БУДУТ включены. При этом вредонос (с Origin домена) их не увидит -- но это и не нужно. Главное что запрос пройдет в "контексте" пользователя. Так что -- не сказки и автор правильно все сказал. Другое дело в том чтобы вот так выстрелить себе в ногу -- нужно сэмулировать запрещенный функционал на стороне сервере.
July 14, 2020: SameSite cookie enforcement has resumed, with a gradual rollout starting today (July 14) and ramping up over the next several weeks as we continue to monitor overall ecosystem readiness and engage with websites and services to ensure they are prepared for the SameSite labeling policy. The SameSite features are being enabled for Chrome Stable channel users on versions 80 and 81 (who should update Chrome!), 83, as well as the newly released 84.
.....
[UPDATE Jan 8, 2021: The modern SameSite behavior (SameSite=Lax by default, SameSite=None requires Secure, and Schemeful Same-Site) will be enabled by default for Android WebView on apps targeting Android S and newer. Existing apps will not be affected until they choose to update to target Android S. Android S has not yet been released. Existing apps can be tested with the new modern SameSite behavior by toggling the flag webview-enable-modern-cookie-same-site in the developer UI.] This does not apply to Chrome browser on Android, which will begin to enforce the new SameSite rules at the same time as the desktop versions of Chrome. The new SameSite behavior will not affect Chrome on iOS.