外側はGETでも、内部ではPOSTやDELETEとして処理される実装では、SameSiteの条件とアプリケーションのメソッド判定が食い違う可能性があります。

8-3. Same-Siteの兄弟ドメイン

同一登録可能ドメイン配下では、異なるサブドメインでもSame-Siteとなる場合があります。

脆弱な兄弟サブドメインを経由すると、SameSite防御を迂回できる可能性があります。

8-4. 新しく発行されたCookie

ChromeのLax-by-default実装では、SSOなどを壊さないため、新しく発行されたCookieについて一時的な例外挙動が問題になる場合があります。

明示的なSameSite=Laxと、未指定時にブラウザが適用するLax相当の挙動が完全に同じとは限りません。

Cookie属性はブラウザの暗黙設定に任せず、アプリケーション側で明示します。

9. Fetch Metadataによる追加防御

現代のブラウザは、リクエストの発生状況を示すFetch Metadataヘッダーを送る場合があります。

Sec-Fetch-Site: cross-site
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: image

主な値は次のとおりです。