SameSite cookie support

[nanasess]

概要(Overview・Refs Issue)

• SameSite cookie 対応
• Chrome80のSameSiteの影響で3Dセキュア等を利用する場合に購入に失敗する ec-cube#4457
• SameSite cookie support ec-cube#4519

方針(Policy)

• SameSite=None に対応する
• iOS12 など、非対応の UA は除外する
• PHP7.3 での setcookie() 関数の変更に対応する
• secure 属性を付与するため、管理画面の SSL強制を ON にする必要がある
  • OFF の場合は、 SameSite 属性は付与されない

実装に関する補足(Appendix)

• Silex のセッション関連のパラメータは ini_set() 経由で設定されているため、 session.cookie_path を動的に設定することで対応
• 3系の過去バージョンも、 Application::initSession() へ同様の修正を追加することで対応可能
• 4系で使用している skorp/detect-incompatible-samesite-useragents は、PHP7.0 以降の対応なので、 SameSite cookie Hotfix パッチ と同じ除外パターンを使用している

テスト（Test)

ユニットテストを追加

相談（Discussion）

• RememberMe も対応するためには、 Symfony\Component\HttpFoundation\Response の修正が必要になるため、現状対応していない

[ryo-endo]

ありがとうございます。
こちらパッチとして提供予定です。

[chihiro-adachi]

cookie の発行状況

以下cookieが正しく発行されていることを確認しました。

force ssl	php ver	secure	samesite
force ssl off	php 7.0.3未満	-	-
force ssl off	php 7.0.3以上	-	-
force ssl on	php 7.0.3未満	on	on
force ssl on	php 7.0.3以上	on	on

safariについてはMac safari 13.1.1 (15609.2.9.1.2) にて、samesiteが発行されていないことを確認

決済プラグイン

EC-CUBEペイメントにて、クレジットカード(3Dセキュア)、楽天Payで購入完了できることを確認しています。