1

Estou a utilizar um handler personalizado para salvar sessões no MongoDB e uma classe personalizada para criar cookies com atributo SameSite usando a função header(), embora esta especificação não seja amplamente adotada (ainda).

Contudo o cookie de sessão PHP é iniciado pela função session_start() que utiliza setcookie(), isso força a criar um cookie de sessão sem atributo SameSite.

Como personalizar o cookie de sessão no PHP?

2 Respostas 2

0

Você já viu essa lib: https://github.com/delight-im/PHP-Cookie

Modern cookie management for PHP: Esta biblioteca fornece um método estático compatível com a função setcookie (...) do PHP, mas inclui suporte para recursos mais recentes, como o atributo SameSite

6
  • Tomei como base exatamente este plugin para minha pergunta ele adiciona o atributo SameSite a cookies usando header() contudo o cookie de sessão é iniciado conforme descrevi em minha pergunta. Commented 6/03/2017 às 18:28
  • Com o método Session::start('Strict') ou ::start('Lax') ele inicia a sessão com método built-in do php (session_start) mas em seguida ele sobrescreve os dados da sessão adicionando o SameSite. Se essa lib não ajudar, eu não sei o que poderia ajudar então. Não há suporte nativo no PHP ainda. Commented 6/03/2017 às 19:12
  • Discussão sobre esse assunto no Reddit: reddit.com/r/PHP/comments/4na46f/… Commented 6/03/2017 às 19:16
  • Pois é exatamente esta a questão. O cookie é gerado e lançado no buffer de saida, escrito (gravado) no cliente e somente depois a classe obtém o cookie e o sobrescreve por mais que este processo possa ser rápido ele não garante que não possa haver intercepção. A um issue que trata de algo similar... Commented 6/03/2017 às 19:16
  • github.com/delight-im/PHP-Cookie/issues/15 Commented 6/03/2017 às 19:17
0

Baseado em uma resposta que recebi no SO em uma questão relacionada ao RFC6265 que define a especificação do cookie "same-site" trago aqui a solução apresentada:

Resposta no SO

Em livre tradução:

Parece que você pode abusar do parâmetro "caminho" ou "domínio" da função "setcookie" do PHP para se esgueirar no atributo SameSite porque o PHP não escapa de ponto e vírgula:

setcookie('samesite-test', '1', 0, '/; samesite=strict');

Achei a resposta interessante e resolvi testar em phtester usando PHP 7.0 o atributo foi adicionado ao cookie de sessão usando Chrome 63 (desktop) e 62 (Android) além do navegador nativo no Android (62) e Opera (48)... Firefox 57 não oferece suporte más promete suporte na próxima versão (58).

Segundo caniuse.com os seguintes navegadores oferecem suporte a especificação (ou oferecerão):

inserir a descrição da imagem aqui

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .