在過去美好(?)的年代，cookie的使用限制較少，但隨著網路安全、更嚴謹的CORS，乃至於個人隱私保護，cookie逐漸單純以追蹤瀏覽器行為的工具，而寬鬆的cookie 存取設定也漸漸變成不受到建議的使用方式。

使用 php 的 setcookie() 與 header() 來設定cookie

php裏頭有提供這兩種方式來做設定 cookie，比較方便使用的是 setcookie()，特別是當要設定多個cookie時，如果用 header()函數時，則要記得加上 replace = false (參考 php manual header())，要不然同樣的 header 會 overwrite，變成只有最後一個送出。

// $datetime is the expire datetime
setcookie("userid", 9527, $datetime, "/;samesite=none", "a.domain1.com");
setcookie("token", "8H123UA7SD", $datetime, "/;samesite=none;secure", "a.domain1.com");
setcookie("value1", 9487, $datetime, "/;samesite=none;secure", "a.domain1.com");

// 用 header() 寫變成這樣
header("set-cookie: userid=9527; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);
header("set-cookie: token=8H123UA7SD; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);
header("set-cookie: value1=9487; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);

// node.js 會像這樣, expire 是 _datetime
res.cookie('userid', '9527', { domain: 'a.domain1.com', expires: _datetime, sameSite: 'none', secure: true });
res.cookie('token', '8H123UA7SD', { domain: 'a.domain1.com', expires: _datetime, sameSite: 'none', secure: true });
res.cookie('value1', '9487', { domain: 'a.domain1.com', expires: _datetime, sameSite: 'none', secure: true });

當使用者第一次瀏覽該頁面時，就會被寫入這些 cookie，而日後再次拜訪此網站的時候，網站可以得知該使用者之前所存下來的cookie內容。

許多網站有提供登入一次後，可以在一段期間內免輸入帳號密碼保持登入狀態，通常都是使用 cookie 來記錄登入 token，這樣就可以免除使用者重複輸入帳號密碼的麻煩。

Cookie domain

Cookie domain 只能是現在所處的網址或是其 parent domain。例如在瀏覽 https://a.domain1.com:8000/test/page 時，domain 預設是 a.domain1.com，其中 port number 不受影響。這時候如果要設定 cookie domain 是 .domain1.com 是沒問題的，而這樣的設定代表該 cookie 可以整個 .domain1.com 通通可以存取。

如果想在這時候設定 b.doamin2.com 是一定會被 browser 給攔下，因為這樣代表可以竄改另一個 domain 的 cookie 資料，有著很大的安全性問題。以前述的登入 token 來說，如果可以被竄改，就代表可以替換成另一個使用者的身分在 b.domain2.com 裏頭使用。

SameSite 與 Secure

在2020年初，主流的幾個 browser 就開始對 cookie 有更嚴格的限制，用 Samesite 屬性來辨識 cookie 的有效作用範圍。共有三類:

這是 https://a.domain1.com/page1
	這裡放了一張圖 https://a.domain1.com/image.jpg
		這裡放了一個連結到 https://a.domain1.com/page2

當瀏覽 https://a.domain1.com/page1 時，如果被寫入 strict cookie，那麼當點連結 https://a.domain1.com/page2 的時候，則會把 strict cookie 一起跟著送到 https://a.domain1.com/page2 。因為兩者都在 a.domain1.com ，屬於同個網域(first-party)。

但是如果換成是使用者先瀏覽過 https://a.domain1.com/page1 拿到了 strict cookie, 然後再去瀏覽 https://www.domain2.com/page1。

這是 https://www.domain2.com/page1
	這裡放了一張圖 https://a.domain1.com/image.jpg
		這裡放了一個連結到 https://a.domain1.com/page2

此時使用者去點下 https://a.domain1.com/page2 連結時，因為原本的 cookie 是 strict，所以進到 https://a.domain1.com/page2 的時候，cookie 將不會被跟著帶過去。

所以前述的例子中，從 https://www.domain2.com/page1 點連結到 https://a.domain1.com/page1 的時候，如果 cookie 是被設定為 Lax，則會跟著被傳送過去。 但根據Chromium Blog 的說法，這樣的使用方式將會逐漸被封鎖淘汰，主要原因是不小心誤用(或惡意使用)很容易有安全問題，畢竟甚麼 request 都可以讓 cookie 一起跟著過去。

Samesite = None 的安全問題

最大的問題在於如果有個 API 是被用來更改資料，且 cookie 中又放著有權限的 token，那麼向下面這樣的例子就等於惡意網站可以做一些壞事。

這是 https://www.EvilWEB.com/page1
	這裡放了一張圖 https://a.domain1.com/image.jpg
		這裡是一個畫面上看不到的iframe, 然後用 jquery 拿了 a.domain1.com 的 cookie 呼叫了 API https://a.domain1.com/apiDeleteData

或者是做一個釣魚網頁，當使用者還在狐疑，尚未輸入任何資料的時候，js的程式碼就已經開始在做壞事了。另外還可能出問題的是 Cross-Site Request Forgery (CSRF)。

php 裏頭做 samesite 設定

如果用 header() 去寫 cookie 變成這樣，比較不會受到 php 版本影響

header("set-cookie: userid=9527; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);
header("set-cookie: token=8H123UA7SD; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);
header("set-cookie: value1=9487; Expires=" . $datetime . "; Domain=a.domain1.com . "; SameSite=None; Secure", false);

如果是用setcookie()則要注意一下， php 7.2 (含)以前的版本，則必須寫成

// $datetime is the expire datetime
setcookie("userid", 9527, $datetime, "/;samesite=none", "a.domain1.com");
setcookie("token", "8H123UA7SD", $datetime, "/;samesite=none;secure", "a.domain1.com");
setcookie("value1", 9487, $datetime, "/;samesite=none;secure", "a.domain1.com");

之後的版本寫成

// $datetime is the expire datetime
setcookie("userid", 9527, $datetime, ['samesite' => 'None', 'secure' => true, 'domain' => 'a.domain1.com']);
setcookie("token", "8H123UA7SD", $datetime, ['samesite' => 'None', 'secure' => true, 'domain' => 'a.domain1.com');
setcookie("value1", 9487, $datetime, ['samesite' => 'None', 'secure' => true, 'domain' => 'a.domain1.com');

詳細可以參考 php manual setcookie()

OAuth 與跨網域登入

從 login 網站發 oauth request 到 oauth service，並夾帶 identity token 以及 redirect url ，在 oauth service 處可以讀取 oauth service 網站的 cookie, 跟 request uri 參數比對作登入。成功後 redirect 回原本網站，並回傳 oauth 上的使用者資料。

Reference:

1. SameSite cookies explained
2. PHP Cookie SameSite 的設定方式
   
3. How cookies track you around the web and how to stop them
4. 網站安全🔒 再探同源政策，談 SameSite 設定對 Cookie 的影響與注意事項
5. 不想失去追蹤受眾資料 ?! 你該知道的Chrome cookie更新

Original link: Phanix's Blog