Wie behebt man „Dieses gesetzte Cookie wurde aufgrund von Benutzereinstellungen blockiert“ in Chrome? (Stackoverflow-SSO-Anmeldung/Ajax-CORS-Anfrage)

Es scheint, dass das kürzliche Update von Chrome auf Version 83.0.4103.116 eine Änderung in der Cookie-Behandlung gebracht hat.

Ich stelle meinen Benutzern ein Single-Sign-On zur Verfügung, das sie bei mehreren Websites anmeldet. Ähnlich wie bei Stackoverflow mache ich eine AJAX-Anfrage mit Jquery:

crossDomain: true, 
xhrFields: { withCredentials: true },

Und in PHP erlaube ich die Domain:

// needed for cross-domain request
header('Access-Control-Allow-Origin: https://www.example.com');
header('Access-Control-Allow-Credentials: true');

Allerdings funktioniert es jetzt nicht mehr.

In der Dev-Konsole habe ich eine neue Warnung mit dem Tooltip gefunden:

“Dieses Set-Cookie wurde aufgrund von Benutzereinstellungen blockiert”

Wie kann man das beheben?

Aktualisieren:

Ich sehe gerade, dass das Single-Sign-On von Stackoverflow auch nicht mehr funktioniert!

PS: Eine verwandte Frage schlägt vor, Ihren Benutzern zu sagen, dass sie die Chrome-Einstellungen ändern sollen. Aus meiner Sicht möchte ich dies vermeiden. Stellen Sie sich vor, SO würde Millionen von Benutzern informieren, um die Cookies für eine einmalige Anmeldung zu aktivieren …

Wenn Sie dies nur im Inkognito-Modus replizieren können und die Antwort von Pierre Pretorius nicht geholfen hat, werden Sie wahrscheinlich von einer Änderung in Chrome 83 getroffen, bei der Cookies von Drittanbietern standardmäßig im Inkognito-Modus blockiert werden. Sehen https://angel.co/today/stories/chrome-83-arrives-with-redesigned-security-settings-third-party-cookies-blocked-in-incognito-21796

Ich glaube nicht, dass Sie viel tun können, um dies zu ändern, und Google beabsichtigt, dies in Zukunft zum Standardverhalten zu machen: https://www.theverge.com/2020/1/14/21064698/google-third-party-cookies-chrome-two-years-privacy-safari-firefox

EDIT: Google wird dies frühestens 2023 umsetzen https://blog.google/products/chrome/updated-timeline-privacy-sandbox-milestones/

Die Website, die die passiert set-cookie Der HTTP-Header muss auch die übergeben SameSite wie None und auch Securesonst wird das Cookie nicht gespeichert und ignoriert.

Set-Cookie: qa_session=...; SameSite=None; Secure

Bevor Sie dies tun, lesen Sie bitte die Auswirkungen auf die Sicherheit:
https://blog.heroku.com/chrome-changes-samesite-cookie

PHP-Codebeispiel (Quelle):

function setcookieSameSite($name, $value, $expire, $path, $domain, $secure, $httponly, $samesite="None")
{
  if (PHP_VERSION_ID < 70300) {
        setcookie($name, $value, $expire, "$path; samesite=$samesite", $domain, $secure, $httponly);
  }
  else {
      setcookie($name, $value, [
          'expires' => $expire,
          'path' => $path,
          'domain' => $domain,
          'samesite' => $samesite,
          'secure' => $secure,
          'httponly' => $httponly,
      ]);
   }
}

Wählen Sie die erste Option unter „Cookies und andere Websitedaten“ in den Chrome-Einstellungen, die „Alle Cookies zulassen“ lautet. Bei mir hat es funktioniert.

Überprüfen Sie dieses Bild

Dies geschieht, wenn Sie möglicherweise “Cookies von Drittanbietern blockieren” im Browser aktiviert haben. Das kannst du einchecken:

Settings → Site Settings → Cookies and site data → Block third-party cookies

oder auch erhältlich über:

chrome://settings/content/cookies

Ändern Sie diese Einstellung auf “Alle Cookies zulassen”.

Dies ist auf eine wesentliche Änderung bei der Cookie-Behandlung zurückzuführen, um CSRF zu entschärfen. Nach diesem Entwurf: https://datatracker.ietf.org/doc/html/draft-west-first-party-cookies-07

Die obigen Problemumgehungen funktionieren nicht (die Funktion setcookieSameSite), da Sie das Samesite-Flag auf der Sitzungskennung setzen müssen (ich kann sehen, dass die PHPSESSID auch diese Nachricht enthält, dh “Dieses Set-Cookie wurde aufgrund von Benutzereinstellungen blockiert”). Oder vielleicht indem Sie den Pfad session_set_cookie_params ausprobieren? (ungetestet).

In eigentümlich für PHP 5.6-Zweigmüssen Sie das Cookie-Attribut der Sitzung festlegen.

btw Es scheint, dass das qa_session-Cookie in Ihrem Screenshot ein zufälliges Cookie ist, für dieses ist es in Ordnung, @Pierre-Pretorius-Antwort zu verwenden, es wird funktionieren.

für PHP 5.6.40 siehe meine andere Antwort hier: https://stackoverflow.com/a/64960472/1641763