Edge浏览器引入同站点Cookies支持 防御跨站请求伪

昨日推送的 Windows Insider 预览编译（build 17672）版本中，微软为 Edge 浏览器引入了“同站点 Cookies”支持，较原计划向 Microsoft Edge 和 Internet Explorer 的推出时间提前了一些。与功能满满的 build 17666 相比，build 17672 算不上大更新。但是其引入的 SameSite Cookies，能够给予用户更多的保护，避免其遭遇跨站轻松伪造（CSRF）攻击。

以 example.com 为例，如果它想要制作面向其它站点（比如 microsoft.com）的“跨源请求”，通常会导致浏览器发送后者的 cookie 作为请求的一部分。

尽管用户可以借助“跨站重用某些状态”来获益（比如登录状态），但这项功能很容易被滥用，比如 CSRF 攻击。在深度防御战略中，同站点 cookie 将是一个很有价值的补充。

为了扩大这项特性的安全优势，微软决定向 Windows 10 创意者更新（及后续版本）的 Edge 和 IE11 浏览器部署同站点 cookies 支持。