flask 1.1+ 默认不设 session_cookie_samesite，导致 chrome 80+/firefox 79+ 在跨站 post、iframe 或 oauth 场景下拒绝发送 cookie；必须显式配置 session_cookie_samesite='none' 并启用 session_cookie_secure=true，且需通过 after_request 动态降级兼容 safari ≤12.1。
Flask 1.1+ 默认不设置 SESSION_COOKIE_SAMESITE，导致 Chrome/Firefox 拒绝第三方上下文下的 Cookie
Chrome 80+ 和 Firefox 79+ 对未明确声明 SameSite 的 Cookie 实施严格默认策略（Lax），但 Flask 1.1–2.0 默认不设该字段，结果是：跨站 POST 表单提交、iframe 内嵌登录页、OAuth 回调等场景下，session Cookie 不会被发送，用户反复跳转或登录态丢失。
根本原因是 Flask 的 session Cookie 缺少 SameSite 属性，浏览器按新规范自动补为 SameSite=Lax —— 而 Lax 模式不支持跨站 POST 请求携带 Cookie。
- 若应用涉及 iframe 嵌入（如 SaaS 管理后台嵌入子系统）、微信公众号内嵌页、或跨域 OAuth 授权回调，必须显式设为
None - 设为
None时，SESSION_COOKIE_SECURE必须为True（即强制 HTTPS），否则现代浏览器直接忽略该 Cookie - Flask 2.0+ 默认仍不设
SESSION_COOKIE_SAMESITE，不能依赖版本升级自动修复
正确配置 SESSION_COOKIE_SAMESITE 的三种取值与适用场景
SameSite 只有三个合法值：Lax、Strict、None。Flask 中通过 SESSION_COOKIE_SAMESITE 配置项控制，但行为和兼容性差异极大：
-
Lax：适合纯单域应用（如example.com下所有路径），允许 GET 导航携带 Cookie，但阻止跨站 POST 提交时发送；无需 HTTPS，兼容性最好 -
Strict：几乎禁止所有跨站请求携带 Cookie，连同站链接跳转（如从mail.example.com点链接到app.example.com）都会丢 session；极少使用 -
None：唯一支持跨站 POST/iframe 场景的选项，但必须搭配SESSION_COOKIE_SECURE = True，且需确保全站走 HTTPS；旧版 Safari（12.1 之前）会拒绝SameSite=None，需额外 UA 判断降级（见下节）
示例配置（推荐用于含 iframe 或 OAuth 的生产环境）：
app.config.update(
SESSION_COOKIE_SAMESITE='None',
SESSION_COOKIE_SECURE=True,
SESSION_COOKIE_HTTPONLY=True,
)
Safari 12.1 以下版本不支持 SameSite=None，需动态降级
直接设 SESSION_COOKIE_SAMESITE='None' 会导致 Safari ≤12.0 用户完全无法建立 session —— 它会静默丢弃该 Cookie，且无错误提示。必须根据 User-Agent 动态判断并降级为 Lax 或空值。
- 不能靠 Flask 的
before_request修改sessionCookie 的 SameSite 属性（底层 Werkzeug 已序列化，无法 runtime 替换） - 正确做法：在响应头中手动覆盖 Set-Cookie，用
after_request拦截并重写 - 只对 Safari ≤12.0 和部分旧 Android WebView 生效，其他浏览器保持
SameSite=None; Secure
简短实现：
@app.after_request
def force_samesite_compat(response):
ua = request.headers.get('User-Agent', '')
if 'Safari' in ua and 'Chrome' not in ua:
if 'Version/12.0' in ua or 'Version/12.1' in ua:
# Safari 12.0–12.1 不支持 SameSite=None
cookies = response.headers.getlist('Set-Cookie')
new_cookies = []
for cookie in cookies:
if 'SameSite=None' in cookie:
cookie = cookie.replace('SameSite=None', 'SameSite=Lax')
new_cookies.append(cookie)
response.headers.setlist('Set-Cookie', new_cookies)
return response
验证是否生效：检查响应头中的 Set-Cookie 字段
配置改完不等于问题解决，必须验证实际发出的 HTTP 响应头。常见错误是：开发环境没开 HTTPS 导致 Secure 失效，或 WSGI 代理（如 Nginx）覆盖了 Set-Cookie 头。
- 用浏览器 DevTools → Network → 任意带 session 写入的请求（如
/login）→ 查看 Response Headers →Set-Cookie是否含SameSite=None; Secure - 若看到
SameSite=Lax或压根没SameSite字段，说明配置未加载（检查app.config是否在Flask()实例化后才设置） - 用
curl -I https://yoursite.com/login直接看原始响应头，排除浏览器缓存干扰 - Nginx 反向代理时，确认未启用
proxy_cookie_path或proxy_cookie_flags覆盖 SameSite
最易被忽略的是：本地开发用 HTTP 协议却设了 SESSION_COOKIE_SECURE=True —— 此时 Cookie 根本不会下发，且无任何报错。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
