添加“SameSite=None;”通过 Rack 中间件到 Rails 的 cookie？

Question

On February 4th 2020，Google Chrome 将要求将SameSite=None; 添加到所有跨站点 cookie。 Rails 6.1 and soon Rails 6.0 have added a same_site: :none rails cookie 哈希的选项：

cookies["foo"]= {
  value: "bar",
  expires: 1.year.from_now,
  same_site: :none
} 

但旧的 Rails 5.x 应用程序不会获得升级以访问 same_site 选项哈希。我知道SameSite=None; cookie 选项可以手动添加到控制器中的 Rails，使用：

response.headers["Set-Cookie"] = "my=cookie; path=/; expires=#{1.year.from_now}; SameSite=None;"

---

但我的 Rails 5.x 应用程序使用复杂的 cookie 对象来修改 cookie。我不想将它们分开，而是想编写 Rack 中间件来手动更新所有带有 SameSite=None; 属性的 cookie。

This StackOverflow answer 展示了一种可以修改 cookie 以在机架中间件中更新 cookie 的方法：

# lib/same_site_cookie_middleware
class SameSiteCookieMiddleware
  def initialize(app)
    @app = app
  end

  def call(env)
    status, headers, body = @app.call(env)
    # confusingly, response takes its args in a different order
    # than rack requires them to be passed on
    # I know it's because most likely you'll modify the body, 
    # and the defaults are fine for the others. But, it still bothers me.

    response = Rack::Response.new body, status, headers

    response.set_cookie("foo", {:value => "bar", :path => "/", :expires => 1.year.from_now, same_site: :none})
    response.finish # finish writes out the response in the expected format.
  end
end

# application.rb
require 'same_site_cookie_middleware'
config.middleware.insert_after(ActionDispatch::Cookies, SameSiteCookieMiddleware)

如何重新编写此机架中间件代码以手动将 SameSite=None; 附加到每个现有 cookie 中？

Answer 1

默认情况下，我能够让所有 cookie 使用 SameSite=None 更新机架：

gem 'rack', '~> 2.1'

use Rack::Session::Cookie, 
        :httponly     => true,
        :same_site    => :none,
        :secure       => true,
        :secret       => COOKIE_SECRET.to_s()

Answer 2

我能够让它与以下内容一起使用：

# frozen_string_literals: true

class SameSiteCookies

  def initialize(app)
    @app = app
  end

  def call(env)
    status, headers, body = @app.call(env)

    set_cookie_header = headers['Set-Cookie']

    if set_cookie_header && !(set_cookie_header =~ /SameSite\=/)

      headers['Set-Cookie'] << ';' if !(set_cookie_header =~ /;$/)
      headers['Set-Cookie'] << ' SameSite=None'
      headers['Set-Cookie'] << '; Secure' if env['rack.url_scheme'] == 'https';

    end

    [status, headers, body]
  end
end

并添加到中间件：

Rails.application.config.middleware.insert_before(ActionDispatch::Cookies, SameSiteCookies)

Answer 3

我遇到了 Rails 5 标题被冻结的问题。这类似于卡森的回答，但它解决了这个问题。应该适用于 rails 5

# frozen_string_literals: true

class SameSiteCookies

  def initialize(app)
    @app = app
  end

  def call(env)
    status, headers, body = @app.call(env)

    set_cookie_header = headers['Set-Cookie']

    if set_cookie_header && !(set_cookie_header =~ /SameSite\=/)
      # the set cookie header variable is frozen
      new_set_cookie_header = set_cookie_header.dup
      new_set_cookie_header << ';' if !(set_cookie_header =~ /;$/)
      new_set_cookie_header << ' SameSite=None'
      new_set_cookie_header << '; Secure' if is_ssl?

      headers['Set-Cookie'] = new_set_cookie_header

    end

    [status, headers, body]
  end

  private

  def is_ssl?
    # custom logic for my application
  end
end

插入中间件

Rails.application.config.middleware.insert_before(ActionDispatch::Cookies, SameSiteCookies)

Answer 4

更新：对于 Rails 5.x 及更低版本，我发现 rails_same_site_cookie gem 是将 SameSite=None; 添加到所有应用程序的 cookie 的不错选择。它使用中间件来做到这一点。

Answer 5

secure_headers gem 可让您开箱即用地配置 cookie 策略：

SecureHeaders::Configuration.default do |config|
  config.cookies = {
    secure: true, # mark all cookies as "Secure"
    httponly: true, # mark all cookies as "HttpOnly"
    samesite: {
      none: true # mark all cookies as SameSite=lax
    }
  }

我使用此解决方案将 SameSite=None 添加到 Rails 5 应用程序上的 cookie。

Answer 6

设置 cookie 后，您将无法修改 cookie 属性，例如 expiry、domain、path。

一旦设置了 cookie，浏览器只会返回 cookie 的名称和值，覆盖任何 cookie 属性将创建一个新的 cookie。我建议删除现有的 cookie 并创建一个具有相同名称和值的新 cookie。

headers['Set-Cookie'] 指示浏览器创建一个新的 cookie，并且修改中间件中的值可以让您对属性值进行很少的控制。

我已经回答here如何通过修改Rack::Utils.set_cookie_header!方法来实现。