DokuWiki升级至Kaos版本后Safari浏览器Cookie丢失问题解析

问题现象

在DokuWiki从Jack Jackrum版本升级到Kaos版本后，部分用户反馈在Safari浏览器(16.2-16.5版本)中出现异常登出现象。具体表现为：

1. 访问含图片的页面时，文字内容可正常加载但图片无法显示
2. 刷新页面后用户会话被强制登出
3. 纯文本页面可正常访问，但一旦加载含图片页面就会触发上述问题

根本原因

该问题源于Safari浏览器对Cookie SameSite属性的兼容性问题：

• Kaos版本加强了Cookie安全策略，将登录Cookie的SameSite属性从"None"调整为"Lax"
• Safari 16.2-16.5版本存在已知缺陷，无法正确处理SameSite=Lax的Cookie
• 这种浏览器缺陷会导致会话Cookie在特定操作后丢失

解决方案

DokuWiki已预见到此类兼容性问题，在Kaos版本中新增了samesitecookie配置项：

1. 修改DokuWiki配置文件

$conf['samesitecookie'] = 'none';  // 或设为空值''

2. 可选方案对比：

• none：完全禁用SameSite限制（安全性最低）
• lax：默认值，平衡安全性与兼容性（但会触发Safari缺陷）
• 空值：相当于none，兼容性最佳

安全建议

虽然将SameSite设为none可解决兼容性问题，但会降低CSRF防护能力。建议采取以下补偿措施：

1. 确保网站启用HTTPS
2. 加强服务器端的CSRF防护机制
3. 考虑对敏感操作增加二次验证

技术背景

SameSite是Cookie的重要安全属性，用于控制跨站请求时是否发送Cookie：

• Strict：最严格，完全禁止跨站发送
• Lax：默认值，允许部分安全跨站请求
• None：完全允许跨站发送（需配合Secure属性）

DokuWiki在Kaos版本中默认采用Lax策略是符合当前Web安全最佳实践的，但需要处理特定浏览器的兼容性问题。

后续版本建议

对于受影响的Safari用户，建议：

1. 升级到最新版Safari（Apple已在后续版本修复该缺陷）
2. 临时使用其他现代浏览器访问
3. 等待DokuWiki后续版本可能提供的更精细的Cookie控制选项