SameSite Cookie 属性

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• ユーザーは、「JSESSIONID」Cookie を設定するために sameSite に None ではなく Strict 属性を追加したい

Environment

• Liferay DXP 7.1

解決策

• アプリケーション サーバーまたは Web サーバーは、JSessionID Cookie を制御します。 したがって、Tomcat がバンドルされている場合は、それに応じて Tomcat アプリ サーバーをセットアップする必要があります。
• 以下は、目的の結果を得るために Tomcat レベルで実行できる手順です。
  
  • アプリケーション サーバーを停止する
  • tomcat/conf/context.xmlに移動してください
  • HTTP 応答ヘッダーの set-cookie で SameSiteCookies を設定するために、次の行の CookieProcessor 要素を更新します。
    

    <CookieProcessor className="org.apache.tomcat.util.http.LegacyCookieProcessor" sameSiteCookies="strict" />

  • すべての一時フォルダをクリア [osgi/state, {liferayhome}/work, {liferayhome}/tomcat/work, {liferay_home}/tomcat/temp]
    
  • サーバーを再起動します
• Tomcat < 9.0.28 (8.5x ブランチの場合は < 8.5.48) では、値が NONE の場合、same-site 属性は設定されません。 これにより、Chrome > 80 のセッション Cookie でいくつかの問題が発生します。 そのため、Tomcat のバージョンが 9.0.28 未満の場合、上記の手順は機能しません。
• Liferay は、これらすべての Cookie に対して SameSite 属性を Lax または Strict に設定するオプションを用意するためにすでに取り組んでおり、すべてが LR エンジン自体によって設定されます。 これはここで追跡できます: LPS-133584

追加情報

• ユーザーは、Web サーバー レベルで同じことを行う方法を探すことができます。これは、目的の結果を達成するのに役立つ可能性があります。 セキュリティ - PHP setcookie "SameSite=Strict"?
• Google Chrome 80 の影響と、SAML での SameSite Cookie 設定のデフォルト動作の変更