rails のcookies設定において、SameSiteの値の変更したい

Question

簡単にできそうなのですが、なかなか良い方法がなく。。質問させていただきます。

▼ゴールは、下記のように devtoolで SameSiteの値に「None」が入っていることです。 ※図はJavaScriptで実装しました

▼apidockのcookieのページをみても、 httponly や secureはあるのに、samesiteはありません…。
https://apidock.com/rails/ActionDispatch/Cookies

session_storeはredisを使っていて、cookiesは別の値を管理しています。
以下、試してみたことです。

1. cookiesのリファレンスにはないが、かき加えてみた

▼元の記述

      cookies.permanent[:key] = value

▼書き換えてみた

      cookies.permanent[:key] = {
        value: value,
        samesite: 'none'
      }

反映されませんでした。

2.secureheader(gem)を使ってみた

https://morizyun.github.io/ruby/library-secureheaders.html

入れてみましたが、cookiesにはSameSiteは反映されず、またgemインストール直後から他で予期せぬ設定変更が起きてしまい、外しました。
（丁寧に設定をオーバーライドしていけば正常に動くかもしれませんが、影響範囲が大きく確認の工数が上がりそうなので諦めました）

直接cookie文字列の書き換えができたらと思うのですが…
何か良い方法ご存知の方がいらっしゃいましたら、ご教示いただけますと幸いです。

ちなみにこの変更の目的は、chromeのcookieがデフォルトでSameSite=Laxになるらしいというものの対策になります。（プロダクトがWebにiframeで埋め込むタイプのものになるので、必要なものかと）
https://www.chromestatus.com/feature/5088147346030592

何卒、よろしくお願いいたします。

Answer 1

最終的に、プルリクがあがっている修正部分を、initializers/にmonkey patchを置いて、オーバーライドする形で実装しました。
今回は、SameSite=Noneであればよいので直接かいています。

正式アップデートがあれば、アップデート対応したいと思います。
わりと裏技的実装だと思うのですが、まずい点等あれば教えてもらえたら嬉しいです。。

▼対象コミット
rails/actionpack/lib/action_dispatch/middleware/cookies.rb
https://github.com/rails/rails/commit/e3e79fc0e167a00749731708991b650e3828e8d2#diff-69714203ccef60fcead8d4eff741a883
rack/utils.rb
https://github.com/rack/rack/commit/c859bbf7b53cb59df1837612a8c330dfb4147392#diff-7c1a24d5b2fe58a6f925c7cacc6c55e7

initializers/cookie_samesite_patch.rb

module ActionDispatch
  class Cookies
    class CookieJar #:nodoc:
      def handle_options(options) # :nodoc:
        if options[:expires].respond_to?(:from_now)
          options[:expires] = options[:expires].from_now
        end

        options[:path] ||= "/"

        options[:same_site] = 'None'

        if options[:domain] == :all || options[:domain] == "all"
          # If there is a provided tld length then we use it otherwise default domain regexp.
          domain_regexp = options[:tld_length] ? /([^.]+.?){#{options[:tld_length]}}$/ : DOMAIN_REGEXP

          # If host is not ip and matches domain regexp.
          # (ip confirms to domain regexp so we explicitly check for ip)
          options[:domain] = if (request.host !~ /^[\d.]+$/) && (request.host =~ domain_regexp)
            ".#{$&}"
          end
        elsif options[:domain].is_a? Array
          # If host matches one of the supplied domains without a dot in front of it.
          options[:domain] = options[:domain].find { |domain| request.host.include? domain.sub(/^./, "") }
        end
      end
    end
  end
end

module Rack
  module Utils
    def add_cookie_to_header(header, key, value)
      case value
      when Hash
        domain  = "; domain=#{value[:domain]}"   if value[:domain]
        path    = "; path=#{value[:path]}"       if value[:path]
        max_age = "; max-age=#{value[:max_age]}" if value[:max_age]
        # There is an RFC mess in the area of date formatting for Cookies. Not
        # only are there contradicting RFCs and examples within RFC text, but
        # there are also numerous conflicting names of fields and partially
        # cross-applicable specifications.
        #
        # These are best described in RFC 2616 3.3.1. This RFC text also
        # specifies that RFC 822 as updated by RFC 1123 is preferred. That is a
        # fixed length format with space-date delimited fields.
        #
        # See also RFC 1123 section 5.2.14.
        #
        # RFC 6265 also specifies "sane-cookie-date" as RFC 1123 date, defined
        # in RFC 2616 3.3.1. RFC 6265 also gives examples that clearly denote
        # the space delimited format. These formats are compliant with RFC 2822.
        #
        # For reference, all involved RFCs are:
        # RFC 822
        # RFC 1123
        # RFC 2109
        # RFC 2616
        # RFC 2822
        # RFC 2965
        # RFC 6265
        expires = "; expires=" +
          rfc2822(value[:expires].clone.gmtime) if value[:expires]
        secure = "; secure"  if value[:secure]
        httponly = "; HttpOnly" if (value.key?(:httponly) ? value[:httponly] : value[:http_only])
        same_site =
          case value[:same_site]
          when false, nil
            nil
          when :none, 'None', :None
            '; SameSite=None'
          when :lax, 'Lax', :Lax
            '; SameSite=Lax'.freeze
          when true, :strict, 'Strict', :Strict
            '; SameSite=Strict'.freeze
          else
            raise ArgumentError, "Invalid SameSite value: #{value[:same_site].inspect}"
          end
        value = value[:value]
      end
      value = [value] unless Array === value

      cookie = "#{escape(key)}=#{value.map { |v| escape v }.join('&')}#{domain}" \
        "#{path}#{max_age}#{expires}#{secure}#{httponly}#{same_site}"

      case header
      when nil, ''
        cookie
      when String
        [header, cookie].join("\n")
      when Array
        (header + [cookie]).join("\n")
      else
        raise ArgumentError, "Unrecognized cookie header value. Expected String, Array, or nil, got #{header.inspect}"
      end
    end
    module_function :add_cookie_to_header
  end
end

Answer 2

Rails 本体に関してはまさに PR が開かれているようです。
rails/rails #28297

そのためRails デフォルトの方法ではまだ不可能ということになりますので、 Rack middleware なりを用意して Rack レベルでセットする必要がありそうです。

参考 How do I set a cookie with a (ruby) rack middleware component?

Comments

[Lampii]

早速ありがとうございます！！なるほど、、まさに対応中なんですね。

変なことを言っていたら恐縮なんですが、middlewareの設定を入れるということは、アプリケーションサーバーにRackではなくunicornを採用していた場合、unicornの設定になるでしょうか…？ nginx+unicornの構成です。
それともunicornを使っていても、Rackは噛んでいると思ってよかったでしょうか？（無知ですみません。。）

[unhappychoice]

Rack middleware は玉ねぎ状の構造をしていて、一番外で受け取ったリクエストを内側に渡していって、一番内側が rails で書いているコードの部分になっています。
すでにいくつもの Rack middleware が使われていて、 `rails middleware` で確認できるかと思います。

cookie に追記するような玉ねぎの皮を一枚自前で追加するだけなので、詳しいやり方は `Rails Rack middleware` 等で調べればすぐに出るかと思います。

[Lampii]

イメージとてもつきやすいです！ありがとうございます！
`rails middleware` やってみました！ActionDispatchも、すでに実装されているmiddlewareの一部なんですね。。理解がはかどります。
このあたり理解が浅いので、学びながら追加してみようと思います。ありがとうございます！！

Answer 3

※自己解決方法にかいたつもりでしたが回答してました。。削除がすぐにできなかったので、重複しますがこちらにもかいておきます。

最終的に、プルリクがあがっている修正部分を、initializers/にmonkey patchを置いて、オーバーライドする形で実装しました。
今回は、SameSite=Noneであればよいので直接かいています。

正式アップデートがあれば、アップデート対応したいと思います。
わりと裏技的実装だと思うのですが、まずい点等あれば教えてもらえたら嬉しいです。。

▼対象コミット
rails/actionpack/lib/action_dispatch/middleware/cookies.rb
https://github.com/rails/rails/commit/e3e79fc0e167a00749731708991b650e3828e8d2#diff-69714203ccef60fcead8d4eff741a883
rack/utils.rb
https://github.com/rack/rack/commit/c859bbf7b53cb59df1837612a8c330dfb4147392#diff-7c1a24d5b2fe58a6f925c7cacc6c55e7

initializers/cookie_samesite_patch.rb

module ActionDispatch
  class Cookies
    class CookieJar #:nodoc:
      def handle_options(options) # :nodoc:
        if options[:expires].respond_to?(:from_now)
          options[:expires] = options[:expires].from_now
        end

        options[:path] ||= "/"

        options[:same_site] = 'None'

        if options[:domain] == :all || options[:domain] == "all"
          # If there is a provided tld length then we use it otherwise default domain regexp.
          domain_regexp = options[:tld_length] ? /([^.]+.?){#{options[:tld_length]}}$/ : DOMAIN_REGEXP

          # If host is not ip and matches domain regexp.
          # (ip confirms to domain regexp so we explicitly check for ip)
          options[:domain] = if (request.host !~ /^[\d.]+$/) && (request.host =~ domain_regexp)
            ".#{$&}"
          end
        elsif options[:domain].is_a? Array
          # If host matches one of the supplied domains without a dot in front of it.
          options[:domain] = options[:domain].find { |domain| request.host.include? domain.sub(/^./, "") }
        end
      end
    end
  end
end

module Rack
  module Utils
    def add_cookie_to_header(header, key, value)
      case value
      when Hash
        domain  = "; domain=#{value[:domain]}"   if value[:domain]
        path    = "; path=#{value[:path]}"       if value[:path]
        max_age = "; max-age=#{value[:max_age]}" if value[:max_age]
        # There is an RFC mess in the area of date formatting for Cookies. Not
        # only are there contradicting RFCs and examples within RFC text, but
        # there are also numerous conflicting names of fields and partially
        # cross-applicable specifications.
        #
        # These are best described in RFC 2616 3.3.1. This RFC text also
        # specifies that RFC 822 as updated by RFC 1123 is preferred. That is a
        # fixed length format with space-date delimited fields.
        #
        # See also RFC 1123 section 5.2.14.
        #
        # RFC 6265 also specifies "sane-cookie-date" as RFC 1123 date, defined
        # in RFC 2616 3.3.1. RFC 6265 also gives examples that clearly denote
        # the space delimited format. These formats are compliant with RFC 2822.
        #
        # For reference, all involved RFCs are:
        # RFC 822
        # RFC 1123
        # RFC 2109
        # RFC 2616
        # RFC 2822
        # RFC 2965
        # RFC 6265
        expires = "; expires=" +
          rfc2822(value[:expires].clone.gmtime) if value[:expires]
        secure = "; secure"  if value[:secure]
        httponly = "; HttpOnly" if (value.key?(:httponly) ? value[:httponly] : value[:http_only])
        same_site =
          case value[:same_site]
          when false, nil
            nil
          when :none, 'None', :None
            '; SameSite=None'
          when :lax, 'Lax', :Lax
            '; SameSite=Lax'.freeze
          when true, :strict, 'Strict', :Strict
            '; SameSite=Strict'.freeze
          else
            raise ArgumentError, "Invalid SameSite value: #{value[:same_site].inspect}"
          end
        value = value[:value]
      end
      value = [value] unless Array === value

      cookie = "#{escape(key)}=#{value.map { |v| escape v }.join('&')}#{domain}" \
        "#{path}#{max_age}#{expires}#{secure}#{httponly}#{same_site}"

      case header
      when nil, ''
        cookie
      when String
        [header, cookie].join("\n")
      when Array
        (header + [cookie]).join("\n")
      else
        raise ArgumentError, "Unrecognized cookie header value. Expected String, Array, or nil, got #{header.inspect}"
      end
    end
    module_function :add_cookie_to_header
  end
end