run 파라미터가 추가되는 경우, same-site 쿠키가 None(또는 Disabled이며 브라우저가 None을 기본값으로 정의하는 경우)으로 설정되어 있으면 이 파라미터를 사용해서는 안 된다는 점을 주목할 필요가 있습니다.
same-site가 none인 경우, 다른 사이트로 이동하여 CSRF가 악용되는 것과 동일한 방식으로 HTTP GET 요청을 보낼 수 있습니다. 이는 엄밀한 의미에서 CSRF 취약점은 아니지만, 데이터 탐색기에서 매우 비용이 많이 드는 작업을 실행할 수 있게 됩니다.
same-site 쿠키 정책은 비교적 새로운 개념이지만, 주요 브라우저들은 이미 이를 상당 기간 동안 지원하고 있습니다. Chrome은 기본적으로 Lax를 사용하며, Discourse도 마찬가지입니다(제가 틀리지 않았다면). 따라서 대부분의 경우 문제가 되지 않을 것입니다.