firebase authenticationでset_cookieができない

Question

firebase authenticationとflaskを利用して、session cookieからユーザーのログイン状況の管理をしたいと考えています。

set_cookieがうまくできていないようなのですが、解決方法がわからないので原因を教えていただきたいです。

参考にしているサイト: https://firebase.google.com/docs/auth/admin/manage-cookies

該当のソースコード

firebase.auth().onAuthStateChanged(function(user) {
  if (user) {
    user.getIdToken().then(function(data){
      var tokenData = {idToken: data}
      $.ajax({
        type: 'POST',
        url: '/sessionLogin',
        data: JSON.stringify(tokenData),
        contentType: 'application/json',
        success: function () {
          console.log("done")
        },
        error: function(XMLHttpRequest, textStatus, errorThrown) {
          alert('error');
          console.log("XMLHttpRequest : " + XMLHttpRequest.status);
          console.log("textStatus     : " + textStatus);
          console.log("errorThrown    : " + errorThrown.message);
        }
      })
    });
  }
});

@app.route('/sessionLogin', methods=['POST'])
def session_login():
    id_token = request.json['idToken']
    decoded_token = auth.verify_id_token(id_token)
    uid = decoded_token['uid']
    expires_in = datetime.timedelta(days=1)

    # Create the session cookie. This will also verify the ID token in the process.
    # The session cookie will have the same claims as the ID token.
    session_cookie = auth.create_session_cookie(id_token, expires_in=expires_in)
    response = jsonify({'status': 'success'})
    # Set cookie policy for session cookie.
    expires = datetime.datetime.now() + expires_in
    response.set_cookie('session', session_cookie, expires=expires, httponly=True, secure=True)
    print("response",response)
    return response

@app.route('/mypage',methods=['GET','POST'])
def mypage():
    session_cookie = request.cookies.get('session')
    print("セッション", session_cookie)
    if not session_cookie:
        # Session cookie is unavailable. Force user to login.
        print("セッションなし")
        return redirect('/')

    # Verify the session cookie. In this case an additional check is added to detect
    # if the user's Firebase session was revoked, user deleted/disabled, etc.
    try:
        decoded_claims = auth.verify_session_cookie(session_cookie, check_revoked=True)
        return serve_content_for_user(decoded_claims)
    except auth.InvalidSessionCookieError:
        # Session cookie is invalid, expired or revoked. Force user to login.
        return redirect('/')
    this_year = check_year()
    return render_template('mypage.html', this_year=this_year)

発生している問題・エラーメッセージ

response <Response 26 bytes [200 OK]>
セッション None

試したこと

/sessionLogin でとって来ているidTokenからuidは正しく持ってこれていることは確認できました。
また、expires_inもきちんと生成されていることを確認しました。

ただ、response.set_cookie(....)の部分がうまくいっていないのか、request.cookies.get('session')をしてもNoneになってしまいます。

プログラミング初心者でcookieやfirebaseについては勉強中で至らない部分もあると思うので追加情報等必要でしたら言ってください。

もしわかる方がいれば教えていただきたいです。
よろしくお願いいたします。

Answer 1

構成がわかりませんが、 Firebase Hosting を利用しているのであれば、 __session という名前のCookieしか使えないようになっています。
Cookie の使用

そうでなければ、まず /sessionLogin で Set-Cookie ヘッダがレスポンスに乗っているか確認したいです。

Comments

[satam]

aaharuさん、回答ありがとうございます。
構成としてCloud Functions、Cloud Run を併用する予定は今のところないです！

/sessionLogin で Set-Cookie ヘッダがレスポンスに乗っているか確認するためにはどうすればいいのでしょうか…
ネットで調べてみたのですが、該当するものを見つけることができず質問を質問で返してしまいすみません。
その他必要な情報等ありましたら教えて下さい。
よろしくお願いします。

[aaharu]

"chrome 開発者ツール ヘッダー" とかで検索してみてください。
あとは、 cookie に secure 属性をつけていますが、確認はHTTPSでしていますか？

[satam]

aaharuさん、返信が遅くなりすみません…。
secure属性を付けていたのに確認をHTTPで行っていたのが原因でした。
secure属性を外してchromeの開発者ツールで確認したところ、set_cookieの挙動を確認できました！
ありがとうございました。