SameSite cookie support

[nanasess]

概要(Overview・Refs Issue)

SameSite cookie 対応

• close SameSite cookie の HotFix を適用すると Warning が発生する #4517
• close Chrome80のSameSiteの影響で3Dセキュア等を利用する場合に購入に失敗する #4457

方針(Policy)

• SameSite=None に対応する
• iOS12 など、非対応の UA は除外する
• PHP7.3 での setcookie() 関数の変更に対応する
• Symfony3.4 における SameSite cookie 対応の変更を吸収する
• 開発環境など、 非SSL環境では secure 属性を付与しない

実装に関する補足(Appendix)

• Symfony の NativeFileSessionHandler は、 ini_get でセッション関連の設定を取得しているため、 framework.yaml で設定せずに ini_set で設定可能
• ini_set('session.cookie_path', '/; SameSite=None'); と設定した場合は PHP7.3 の setcookie 関数仕様変更の影響を受けない
• 上記を対策した SessionHandler を自前で用意した

テスト（Test)

• AbstractSessionHandlerTest を移植(random_session_id のテストがエラーになる模様)
  • https://github.com/symfony/symfony/blob/2adc85d49cbe14e346068fa7e9c2e1f08ab31de6/src/Symfony/Component/HttpFoundation/Tests/Session/Storage/Handler/AbstractSessionHandlerTest.php
  • random_session_id のエラーは PHPのバグ の模様なのでスキップする

関連(Refs)

• [HttpFoundation][FrameworkBundle] fix support for samesite in session cookies symfony/symfony#35605

相談（Discussion）

• 追試求む
• 決済プラグインでの動作確認
• EC-CUBE4.0.3 以前のバージョンへのパッチ
  • skorp/detect-incompatible-samesite-useragents を入れて、同様の修正をすれば動くはず
• Symfony3.4.38以降の対応(SameSite cookie に関する仕様変更が入っているため)
  • SessionHandler 自体の互換性は担保しているので、AbstractSessionHandler の不具合修正のみ追従していけば問題ないはず
• RememberMe も対応するためには、 Symfony\Component\HttpFoundation\Response の修正が必要になるため、現状対応していない
  • Symfony3.4.38以降で対応可能になると思われる

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更
• フックポイントの呼び出しタイミングの変更
• フックポイントのパラメータの削除・データ型の変更
• twigファイルに渡しているパラメータの削除・データ型の変更
• Serviceクラスの公開関数の、引数の削除・データ型の変更
• 入出力ファイル(CSVなど)のフォーマット変更

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか

[kiy0taka]

ありがとうございました。決済プラグインでも動作を確認できました。