すべてのCookieにHTTPOnly、Secure、SameSite属性を設定する。

Laura Li

更新 2024年06月18日 05:35

問題

アプリケーションのセキュリティスキャンを実施してもらっています。なお、一部のCookieには、HTTPOnly、Secure、SameSiteの属性がありません。これらの属性をNGINXに適用するにはどうすればいいのでしょうか？

Environment

Liferay DXP 7.4、LXC-SM 4.x

解決策

/webserver/configs/{env}/conf.d フォルダに ssl.conf ファイルを作成します。
proxy_cookie_path / "/; HTTPOnly; Secure; SameSite=strict"; を ssl.conf ファイルに追加します。 (注）ここでは、「strict」を例にしています。使用用途に応じて適切な値を設定してください)。
ビルドを自分の環境にデプロイする
クッキーを確認する
LFR_SESSION_STATE に HTTPOnly のフラグが立っていない。その理由は、このの記事で説明しています。 7.4の関連コードは、こちら。
LFR_SESSION_STATEにはSameSiteのフラグも立っていません。これはJSクッキーなので、このフラグはLiferayのコードでのみ設定できます。ロードマップに実装するための機能リクエスト LPS-133584 を用意しています。

追加情報