Nodejs(Express)にてTwitterのビューアプリのバックエンドを作成しております。
ログイン方法はTwitter Apiを使用して認証後に返ってくるトークンをセッションに保存し、再度アクセスのあった際にcookieからセッションを復元するようにしようと考えております。
しかし、再度アクセスの際にcookieがブロックされてしまいセッション情報を復元するとこができません。
使用してるブラウザはchromeなのですが、chromeのバージョン80からはSameSite属性を指定しなかった場合はSameSite属性がLax(同じドメインのサイトから呼び出された場合にCookieを送信する)となるようで、今回の場合はフロントとバックエンドは異なるドメインなのでcookieがブロックされるようです。
そこでSameSite属性をNone(どのサイトから呼び出されてもCookieを送信する)で設定しようとしているのですが、なかなか上手く設定することができず質問しました。
おそらくapp.use(session({})の部分で工夫をすればSameSite属性をNoneにすることができるのではないかと思っているのですが、、、
解決策をご存知の方がおられましたら、お力をお貸しいただけないでしょうか。
よろしくお願いいたします。
該当のソースコード
callback_url = env.URL + "oauth/callback";
app.use(
cookieSession({
name: "session",
keys: ["thisappisawesome"],
maxAge: 24 * 60 * 60 * 100
})
);
app.use(cookieParser());
// セッションに保存
passport.serializeUser(function(user, done) {
done(null, user.id);
});
// セッションから復元 routerのreq.userから利用可能
passport.deserializeUser(function(user, done) {
done(null, user);
});
passport.use(
new TwitterStrategy({
consumerKey: env.TWITTER_CONSUMER_KEY,
consumerSecret: env.TWITTER_CONSUMER_SECRET,
callbackURL: callback_url
},
async (token, tokenSecret, profile, done) => {
return done(null, profile);
}
));
app.use(session({
allowedHeaders: ['sessionId', 'Content-Type'],
exposedHeaders: ['sessionId'],
secret: 'reply-analyzer',
resave: false,
saveUninitialized: false
}));
var cors_set = {
origin: env.CORS_ORIGIN_URL,
methods: "GET,HEAD,PUT,PATCH,POST,DELETE",
credentials: true // allow session cookie from browser to pass through
};
app.use(passport.initialize());
app.use(passport.session());
app.use(cors(cors_set));
試したこと
1.app.use(session({})の部分でcookieのオプションを設定してみましたが、変わらすSameSite属性をNoneとすることができませんでした。
app.use(session({
allowedHeaders: ['sessionId', 'Content-Type'],
exposedHeaders: ['sessionId'],
secret: 'reply-analyzer',
resave: false,
saveUninitialized: false,
cookie : {
secure: true,
sameSite: 'None'
}
}));
2.以下のミドルウェアー(express-samesite-default)を使用してみましたが、変わらすSameSite属性をNoneとすることができませんでした。
var sameSiteCookieMiddleware = require("express-samesite-default");
app.use(sameSiteCookieMiddleware.sameSiteCookieMiddleware());
補足情報(FW/ツールのバージョンなど)
Node.js v12.18.2
chrome v84.0.4147.135
Secure
Cookieはhttpsのみでの利用可能ですが、HTTPSは利用中でしょうか? developer.mozilla.org/ja/docs/Web/HTTP/Headers/Set-Cookie/…