크롬80,84 쿠키정책 변경 이슈

크롬 80버전

2020년 2월 4일 크롬80 쿠키정책이 변경되었다.

• 도메인이 서로 다른 사이트 간 이동을 하는 경우 쿠키 전달 불가
• 서로 다른 도메인 간 이동 시 쿠키 전달 불가로 인한 세션 오류 발생(결제 pg사)
• 기본 SameSite를 Lax로 변경

문제

• 사이트에 간헐적으로 결제시 세션이 끊기는 현상이 발생하였다.

원인(PG사)

• 크롬80 쿠키정책에 대응을 하더라도 사용자가 임의로 위에처럼 차단시에 결제등 외부 쿠키관련 데이터가 막힐수 있다.
• 차단시 인클루드된 외부사이트 스크립트에서 문제가 발생하였다.

해결법

• 각사이트 header나 공통 페이지에 아래처럼 기재하였다.
• httpServletResponse.setHeader("Set-Cookie", "JSESSIONID=" + session.getId() + "; Path=/; Secure; SameSite=None");
• 궁극적으로 SameSite None을 해줌으로써 다른 사이트간 쿠키 전달을 가능하게 하였고(Lax의 경우는 불가) 이로 인해 외부사이트 스크립트에 쿠키 관련 데이터를 전달할수 있게 하였다.