Laravel リクエスト時にCookie内のlaravel_sessionが変更されてしまう

Question

(各バージョン)
laravel：6.18.40
PHP：7.2.31
nginx:1.19.0"

(やりたいこと)
apiを呼び出した時にlaravel_sessionの値が変更されないようにしたい。
ショッピングサイトを作成しているのですが会員登録をしていなくても購入できるように
sessionIDで購入者か判断したいのでsessionIDが変更されないようにしたいです。

(現状)
フロント側でaxiosでapiを呼び出しコントローラーで処理が行われレスポンスが返って来ています。
デベロッパーツールで確認してみるとリクエストとレスポンスで共にcookieはあるのですがcookieの中身が変わってしまっています。(全てのapi)

以下に例として実装しているコードを記載します。内容としてはテーブルに登録されている商品を取得してページに反映させています。

↓フロント

<template>
  ...省略
</template>
<script>

export default{
  data(){
    return {
      products: []
    }
  },
  methods: {
    async fetchProduct(){
      const response = await axios.get(`/api/product/?page=${this.page}`);

      this.products = response.data.data;
    }
  },
  watch: {
    $route: {
      async handler(){
        await this.fetchProduct();
      },
      immediate: true
    }
  }
}
</script>

↓routes

<?php

use Illuminate\Http\Request;

/*
|--------------------------------------------------------------------------
| API Routes
|--------------------------------------------------------------------------
|
| Here is where you can register API routes for your application. These
| routes are loaded by the RouteServiceProvider within a group which
| is assigned the "api" middleware group. Enjoy building your API!
|
*/

// Route::middleware('auth:api')->get('/user', function (Request $request) {
//     return $request->user();
// });

//トップページ(商品一覧)
Route::get('/product', 'Auth\ProductController@GetProductList')->name('product');

↓コントローラー(テーブルからデータの一覧を取得しjsonで返却しています。paginate使用しています。)

<?php

namespace App\Http\Controllers\Auth;

use App\Http\Controllers\Controller;
use Illuminate\Http\Request;
use App\Models\Product;
use Illuminate\Support\Facades\Auth;

class ProductController extends Controller
{
    /**
     * Display a listing of the resource.
     *
     * @return \Illuminate\Http\Response
     */
    public function GetProductList(Product $product)
    {
        $getData = null;
        if(Auth::check()){
            $getData = $product
                ->leftjoin('favorites', function($join){
                    $join->on('product.id', '=', 'favorites.product_id')
                        ->where('favorites.login_id', '=', Auth::user()->login_id);
                })
                ->select('product.*','favorites.login_id')
                ->orderBy('product.created_at', 'asc')
                ->paginate();
        }else{
            $getData = $product->orderBy('created_at', 'asc')
                ->paginate();
        }
        return $this->jsonResponse($getData);
    }
}

↓kernel.php

<?php

namespace App\Http;

use Illuminate\Foundation\Http\Kernel as HttpKernel;

class Kernel extends HttpKernel
{
    /**
     * The application's global HTTP middleware stack.
     *
     * These middleware are run during every request to your application.
     *
     * @var array
     */
    protected $middleware = [
        \App\Http\Middleware\TrustProxies::class,
        \App\Http\Middleware\CheckForMaintenanceMode::class,
        \Illuminate\Foundation\Http\Middleware\ValidatePostSize::class,
        \App\Http\Middleware\TrimStrings::class,
        \Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull::class,
    ];

    /**
     * The application's route middleware groups.
     *
     * @var array
     */
    protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            // \Illuminate\Session\Middleware\AuthenticateSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

        'api' => [
            'throttle:60,1',
            'bindings',
        ],
    ];

    /**
     * The application's route middleware.
     *
     * These middleware may be assigned to groups or used individually.
     *
     * @var array
     */
    protected $routeMiddleware = [
        'auth' => \App\Http\Middleware\Authenticate::class,
        'auth.basic' => \Illuminate\Auth\Middleware\AuthenticateWithBasicAuth::class,
        'bindings' => \Illuminate\Routing\Middleware\SubstituteBindings::class,
        'cache.headers' => \Illuminate\Http\Middleware\SetCacheHeaders::class,
        'can' => \Illuminate\Auth\Middleware\Authorize::class,
        'guest' => \App\Http\Middleware\RedirectIfAuthenticated::class,
        'signed' => \Illuminate\Routing\Middleware\ValidateSignature::class,
        'throttle' => \Illuminate\Routing\Middleware\ThrottleRequests::class,
        'verified' => \Illuminate\Auth\Middleware\EnsureEmailIsVerified::class,
    ];

    /**
     * The priority-sorted list of middleware.
     *
     * This forces non-global middleware to always be in the given order.
     *
     * @var array
     */
    protected $middlewarePriority = [
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\Authenticate::class,
        \Illuminate\Routing\Middleware\ThrottleRequests::class,
        \Illuminate\Session\Middleware\AuthenticateSession::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
        \Illuminate\Auth\Middleware\Authorize::class,
    ];
}

Answer 1

セッション保持の方法がCookieになっているのではないでしょうか?

HTTPセッション 8.x （再翻訳中）Laravel

この場合、laravel_sessionが変化するのは避けられないと思います。fileセッションドライバーなどに変更したらどうでしょうか。

しかしながら、「sessionIDで購入者か判断したいのでsessionIDが変更されないようにしたいです」というコメントには違和感があります。購入者か否かの判断はセッションの中身を使って判断するもので、sessionIDによって判断するものではありません。

Comments

[hiroki88]

ご回答ありがとうございます。
まだLaravelを触ったばかりで間違った質問かもしれませんがご容赦ください。
デフォルトでセッションドライバはfileになっていたのでstorage/framework/sessions配下にsessionが
保存されているのは分かっていたのですがcookieにもsessionIdが保存されていたのでどちらも同じものとして認識してしまっていました。
今挙動を確認したらstorage/framework/sessions配下に保存されたsessionはapiを叩いても変更されませんでした。
storage/framework/sessions配下に保存されたsessionはapiを叩いても変わらない認識でよろしいのでしょうか?
またcookie側は毎回sessionIdは変更されstorage/framework/sessions側に登録されるsessionは変更されないのか教えて頂きたいです。

[ockeghem]

セッションの中身は、アプリケーションから明示的に変更しない限り変更されません

[hiroki88]

そうなんですね、理解いたしました。
ちなみにですがcookieの中のlaravel_sessionが毎回変更されるのはLaravel独自の挙動になるのでしょうか?

[ockeghem]

Laravelあまり詳しくないのですが、以下の説明があるということは、毎回勝手に変更されるわけではない（変更されるとは限らない）と思います。
--
セッションIDの再生成は多くの場合、悪意のあるユーザーからの、アプリケーションに対するsession fixation攻撃を防ぐために行います。
Laravel Jetstream（和訳）を使用していれば、認証中にセッションIDは自動的に再生成されます。しかし、セッションIDを任意に再生成する必要があるのでしたら、regenerateメソッドを使ってください。

https://readouble.com/laravel/8.x/ja/session.html#regenerating-the-session-id

[hiroki88]

かしこまりました。とても分かりやすく説明して頂きありがとうございました。