cookie有了samesite是不是不需要csrf token了？

Question

现在浏览器cookie都自带了samesite属性，这样第三方网站想发起csrf攻击cookie也不会带过去了，是不是意味着先前的csrf_token这种方式被取代了？

Answer 1

原则上是的。

但第一，架不住真的会有 SameSite=None 的需求。

第二，Chrome 51+、Safari 12.0+ 才开始支持 SameSite，移动端下真的很难确保对方浏览器支不支持，尤其 iOS 这种只能用 Safari、且 Safari 只能跟随系统大版本更新的。

那这两种情况下 CSRF_TOKEN 还是有用的。

愿景总是美好的，但现实环境的兼容问题总归是要考虑的。