Strict模式划定 cookie 只答允沟通的site利用，不该该在任何的 cross site request 被加上去。即a标签、form表单和XMLHttpRequest提交的内容，只要是提交到差异的site去，就不会带上cookie。
但也存在未便，譬喻伴侣发送过来我已经登岸过的一个页面链接，我点开后，该页面仍然需要从头登录。
有两种处理惩罚步伐，第一种是与Amazon一样，筹备两组差异的cookie，第一组用于维持登录状态不设定SameSite，第二组针对的是一些敏感操纵会用到（譬喻购置、付出、设定账户等）严格设定SameSite。
基于这个思路，就发生了 SameSite 的另一一种模式：Lax模式。
Lax 模式打开了一些限制，譬喻
<a> <link> <form method="GET">
这些城市带上cookie。可是 POST 要领 的 form，或是只要是 POST, PUT, DELETE 这些要领，就不会带cookie。
但必然留意将重要的请求方法改成POST，不然GET仍然会被进攻。
PS：该方法今朝仅Chrome支持。
跋文
方法1通过验证HTTP Referer头信息来防备跨站请求伪造csrf，在java中可以通过filter来实现。方法2和方法3都是通过在请求中添加token来举办安详校验的，spring security 提供的csrf防护就是回收这样的方法，并且从spring security 4.0开始csrf防护是默认开启的。对付一个新项目，可以几种方法都用上，这样越发安详。假如是一个已经完备的web措施，照旧利用方法1修改起来利便，否则每个请求都加上csrfToken窜改很大。关于spring security csrf可参考我的博文：https://www.jb51.net/article/157547.htm