需要特别注意的是，如果添加了 run 参数，当 same-site Cookie 设置为 None（或 Disabled 且浏览器将 None 视为默认值）时，不应使用该参数。
如果 same-site 设置为 none，攻击者可以访问其他网站，并像利用 CSRF 那样发起 HTTP GET 请求。虽然这本身并不构成 CSRF 漏洞，但他们可能借此在数据浏览器中执行一些极其耗时的指令。
same-site Cookie 策略相对较新，但主流浏览器已支持一段时间。Chrome 默认设置为 Lax，Discourse 也是如此（如果我没记错的话），因此在大多数情况下不应出现问题。