SameSite cookie attribute

問題

ユーザーは、「JSESSIONID」Cookie を設定するために sameSite に None ではなく Strict 属性を追加したい

Environment

Liferay DXP 7.1

解決策

アプリケーションサーバーまたは Web サーバーは、JSessionID Cookie を制御します。したがって、Tomcat がバンドルされている場合は、それに応じて Tomcat アプリサーバーをセットアップする必要があります。
以下は、目的の結果を得るために Tomcat レベルで実行できる手順です。
- アプリケーションサーバーを停止する
- tomcat/conf/context.xmlに移動してください
- HTTP 応答ヘッダーの set-cookie で SameSiteCookies を設定するために、次の行の CookieProcessor 要素を更新します。
```
<CookieProcessor className="org.apache.tomcat.util.http.LegacyCookieProcessor" sameSiteCookies="strict" />
```
- すべての一時フォルダをクリア [osgi/state, {liferayhome}/work, {liferayhome}/tomcat/work, {liferay_home}/tomcat/temp]
- サーバーを再起動します
Tomcat < 9.0.28 (8.5x ブランチの場合は < 8.5.48) では、値が NONE の場合、same-site 属性は設定されません。これにより、Chrome > 80 のセッション Cookie でいくつかの問題が発生します。そのため、Tomcat のバージョンが 9.0.28 未満の場合、上記の手順は機能しません。
Liferay は、これらすべての Cookie に対して SameSite 属性を Lax または Strict に設定するオプションを用意するためにすでに取り組んでおり、すべてが LR エンジン自体によって設定されます。これはここで追跡できます: LPS-133584

追加情報

ユーザーは、Web サーバーレベルで同じことを行う方法を探すことができます。これは、目的の結果を達成するのに役立つ可能性があります。セキュリティ - PHP setcookie "SameSite=Strict"?
Google Chrome 80 の影響と、SAML での SameSite Cookie 設定のデフォルト動作の変更

SameSite Cookie 属性

問題

Environment

解決策

追加情報