Cookie 的規格是 RFC 文件所定義的，其實一直以來都有在演化，目前為止已經有三個版本，照順序分別是 RFC2109、RFC2965 和最新的 RFC6265，像是HttpOnly就是 RFC6265 才出現的，而最近最新的屬性，就是SameStie了，其實它和HttpOnly的起源很接近，都是近年來比較被人重視的安全性和隱私的原因，Google 的 web.dev 有一篇圖文並茂的文章介紹的很詳細－ SameSite cookies explained，建議還不清楚什麼是 SameSite cookie 的可以先去看一下。

SameSite Cookie 的標準文件其實還未正式定稿，目前還算是草稿 RFC6265bis（bis 在 The Tao of IETF 有解釋），不過主流瀏覽器都已經支援了，然後其實這篇文章我想說的是最近在 W3C TAG 看到的 Issue 373：SameSite=Lax by default，是由 Google 的 Mike West 提案要把 SameSite 的預設值改為 Lax，現在 Google Chrome 已經有這個實驗選項了，而且除了 SameSite 預設值的改變之外，其實還有一個修改目標是SameSite要在Secure的時候才能設為None，這項改變相對而言是影響比較大的，所以提案的文件（Incrementally Better Cookies）也有提到可以分步進行，另外就是 Firefox 也表示有意願來實做，看起來至少 SameSite 預設改為 Lax 這件事應該是不會太久之後就會發生了。

在花時間看一些文件內的參考資料後，發現 Mike West 還有其它幾份相關的草案：

• first-party-setsWICG/first-party-sets 是用/.well-known/URL 來跟客戶端溝通，可以提供 first party 的域名清單；
• First-Party Sets and SameSite Cookies 利用上面的 first-party-set 資訊，然後提供兩種新的 SameSite 值：FirstPartyLax和FirstPartyStrict；
• HTTP State Tokens 定義了個標準化的 session token，是由瀏覽器端產生的 token，而不是 Web API，至於怎麼傳遞到 server 端，怎樣溝通有效期等都有寫在規範內，Incrementally Better Cookies 的想法也是從這份草案中的特性而來。

這些草案都還蠻有趣的，至於會不會定稿成為規範甚至大家都開始實做，目前就還很難斷定了。