Safari的“阻止跨站点跟踪”破坏了Okta的几个特性(由于okta会话没有被创建)

Question

我使用okta sign-in widget在我们的应用程序中对用户进行身份验证。问题是，当在Safari中选中“防止跨站跟踪”时(FF有类似的设置)，登录仍然有效，但单点登录、MFA“不质询”和Okta会话创建不起作用。如果我取消选中该设置，则一切都按预期工作。

使用Chrome，我可以使用静默(无浏览器url重定向)方法从Okta检索访问令牌。浏览器可以加载Okta会话，并使用MFA功能“不要再在这个设备上挑战我”。

然而，使用相同的代码，Safari不允许我加载Okta会话，也不会根据用户使用的设备停止质询用户(当选项被选中时)。未选中时完全正常)。

因此，我将代码转换为使用response.session.setCookieAndRedirect('http://mysite/login')模式，认为重定向到Okta的站点可以解决这个问题。我可以看到浏览器重定向到Okta，然后使用code参数中的访问令牌返回到我的站点，但是，结果是一样的。

我读到的一件事说，用户必须与第三方网站‘互动’。虽然不太确定“交互”是什么意思..这似乎不仅仅意味着通过网站“重定向”。

有没有更好的模式可以在有更强的第三方cookie保护的浏览器(如FF和Safari)中工作？

Answer 1

解决这个问题的唯一方法似乎是将自定义域应用到您的Okta租户和应用程序，使它们匹配，即Okta域是matt.okta.com，应用程序域是app.matt.com。它不再是第三方cookie，因为它与Okta关联，因此风险较小。

你可以在这里找到更多关于它的信息：https://support.okta.com/help/s/article/FAQ-How-Blocking-Third-Party-Cookies-Can-Potentially-Impact-Your-Okta-Environment?language=en_US