0

Railsでログイン機能を実装しています。

認証のエンドポイントで Set-Cookie response header を付与していますが 「ユーザ設定によりブロックされました」という警告が出て cookie が保存されません。

画像の通り cookie, path, Secure属性, SameSite属性を付与しています。

ユーザ設定によりブロックされた画像

chrome の設定が「シークレットモードでサードパーティのCookieをブロックする」になっていたため、「Cookieを全て受け入れる」に変更したところ、問題なく cookie がセットされることを確認しました。

シークレット
から、下記に変更
全てのcookie

デフォルトの設定は「シークレットモードでサードパーティのCookieをブロックする」 であるため、この設定のままでも cookie がセットされるようにしたいと思っています。

これを実現するために何か手立てありましたらご助言いただきたいです。

環境

  • Mac OS Big Sur 11.5.2(M1)
  • Google Chrome 103.0.5060.53(Official Build) (arm64)

SP

  • iPhone12 iOS 15.5
  • Chrome 103.0.5060.63

シーケンス図
処理のフロー


追記
サードパーティーの cookie として判定されているのはフロントを別会社、サーバーを自分がホストしていることによって、同じDNSサーバーで運用できない点が原因かと考えています。
参考: https://blog.cloud-acct.com/posts/u-nuxt-rails-safari-cookies/

---
※※追記
複数の Chrome で確認したところ、 Cookie がセットされるバージョンとされないバージョンがあるようです。

  • セットされる: 103.0.5060.114(Official Build) (x86_64)
  • セットされない: 103.0.5060.53(Official Build) (arm64)
17
  • ユーザーがブラウザに設定した Cookie 拒否を、サーバー側から受け入れるように変更したいということですか?
    – WebSurfer
    Commented 2022年7月11日 22:35
  • はい、やりたいことはその通りです。しかし現実的ではないのでサードパーティの cookie として判定されることを避けることで、この問題を解決できるのではないか、と考えています。
    – batch
    Commented 2022年7月12日 0:01
  • エラーが表示されているときの画面のドメインとCookieをセットしようとしているドメインは完全に別ドメインですか?それとも同じドメインですか?それともサブドメインなどの関連があるドメインですか?
    – keitaro_so
    Commented 2022年7月12日 0:24
  • 状況が良く分かりませんが、普通に認証チケットをクッキーでやり取りする場合「サードパーティの cookie として判定される」は関係ないと思うのですが。Chrome の設定の「シークレットモードでサードパーティのCookieをブロックする」よりキビシイ「サードパーティの Cookie をブロックする」でも問題ないはずです。「すべての Cookie をブロックする(推奨されません)」になってませんか?
    – WebSurfer
    Commented 2022年7月12日 0:27
  • 何にせよユーザーのブラウザの Cookie の設定をサーバー側から変更することはできません。そこを何とかしようと考えるより、「サードパーティの Cookie をブロックする」の設定があるとダメな原因を見つけ、それを解決する方が良さそうだと思います。
    – WebSurfer
    Commented 2022年7月12日 0:32

1 件の回答 1

1

以下の図(質問者さんが質問に追加した画像にユーザーを追加しました)の構成になっていて、バックエンドからの「認証 OK なら Set-Cookie・・・」の Cookie はサードパーティ製と見なされてブラウザの設定で拒否されるのが問題と理解しました。

システム構成

何故シークレットモードを使うのか解せませんが、そういう決まりになっているのだろうと理解して・・・

デフォルトの設定は「シークレットモードでサードパーティのCookieをブロックする」 であるため、この設定のままでも cookie がセットされるようにしたいと思っています。これを実現するために何か手立てありましたらご助言いただきたいです。

上の図の構成のままですと手立ては無いと思います。

ユーザーにブラウザの Cookie の設定を「Cookie を全て受け入れる」に変更してもらうのが唯一の解決策だと思いますが、それは許されないのでしょうから、自分が考え付くのは:

(1) 上の図の「フロント」からの応答のところで「バックエンド」にリダイレクトし、ユーザーからはファーストパーティとして「バックエンド」に要求を出し、「バックエンド」からファーストパーティ Cookie として受け取る。

(2) Cookie ベースの認証はやめて、トークンベースの認証に替える。

・・・ぐらいです。

7
  • SPのcookie問題も含め、提案いただいた(2)の対応で検討することにします。
    – batch
    Commented 2022年7月13日 5:46
  • 「SPのcookie問題」とは何ですか?
    – WebSurfer
    Commented 2022年7月13日 6:03
  • iPhone12 iOS 15.5, Chrome 103.0.5060.63, この環境で一切ログインができない問題になります。cookie を確認する術がなさそうなので cookie 周りのエラーは確認できないのですが、PCで認証したときに cookie がセットされない状況と同じ挙動をとっています。
    – batch
    Commented 2022年7月13日 8:12
  • ログインができないというのは別の問題ではないのですか? つまり、(1) サードパーティ Cookie をブラウザが受け取ることができる、と (2) それを送信してログインできるというのは別の話で、ログインできないという (2) の問題は、まず (1) を解決できてからの話ではないのですか? (2) には ajax, cors での問題とかありそうです。
    – WebSurfer
    Commented 2022年7月13日 9:22
  • 失礼しました。PCのChromeではログインができるのでログイン処理自体は問題ないと思っています。SPでは cookie 周りのエラーが確認できないため、挙動として「正しい認証情報を入れてもログインできない」ように見える、という意図でした。(実際、認証エンドポイントを叩いたときはバックエンドサーバに認証成功のログが流れます)この挙動は「PCでcookieが設定できなかった」場合と同じです。
    – batch
    Commented 2022年7月13日 9:33

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。