A SameSite=Lax nem böngésző-egyezmény: a Firefox kipróbálta, aztán visszavonta
A Chrome négy éve úgy állítja be a sütiket, mintha SameSite=Lax lenne rajtuk – de a Firefox ezt kipróbálta, aztán dokumentáltan visszavonta, és a Safari sosem is akarta ugyanazt. Amikor az express-session cookie.sameSite alapértéke false, a CSRF-védelmed pontosan attól függ, melyik böngészőt használja a felhasználód.