Как работают куки с атрибутом SameSite в контексте CSRF?

Атрибут SameSite контролирует, отправляются ли куки при межсайтовых запросах. Это главная защита от CSRF-атак на уровне браузера. Три значения: Strict (куки не отправляются при любом межсайтовом запросе), Lax (отправляются только при навигации верхнего уровня GET), None (отправляются всегда, но требуется Secure). Браузеры по умолчанию используют Lax.