망할고양이의 도피처

환경 구성

ALB / tomcat9 / spring boot 2.5.7

application.properties에 아래와같이 수정하여도 실제 적용이 안되는 경우

server.servlet.session.cookie.domain = [도메인]
server.servlet.session.cookie.path = /
server.servlet.session.cookie.http-only= true
server.servlet.session.cookie.same-site=None
server.servlet.session.cookie.secure=true

해당 설정이 적용되지 않는 이유는  AWS의 ALB를 사용하는 경우에는  AWS ALB가 기본적으로 HttpOnly 속성은 적용하고, SameSite, Secure 속성은 적용하지 않기 때문에 타겟 그룹 설정에서 쿠키 설정을 변경해야 한다고 한다.

하지만 ALB에서 설정을 안해주는 경우가 있다. (다른분들은 다 그냥 하시던데요..??)

그럼 남은건 Tomcat에 설정하는 방법이다.

Cookie secure 설정 : tomcat폴더/conf/sever.xml 파일을 수정한다.

<Connector connectionTimeout="20000" port="88" protocol="HTTP/1.1" redirectPort="8443" secure="true"
/>

위의 내용과 같이 https 설정이 아니어도 그냥 secure 설정 한다. (https/SSL인증서 설정은 ALB에 되어있다.)

sameSite 설정 : 

    <!-- Default set of monitored resources. If one of these changes, the    -->
    <!-- web application will be reloaded.                                   -->
    <WatchedResource>WEB-INF/web.xml</WatchedResource>
    <WatchedResource>WEB-INF/tomcat-web.xml</WatchedResource>
    <WatchedResource>${catalina.base}/conf/web.xml</WatchedResource>
    
    <!-- sameSite -->
    <CookieProcessor className="org.apache.tomcat.util.http.Rfc6265CookieProcessor" sameSiteCookies="Strict"/>

    <!-- Uncomment this to disable session persistence across Tomcat restarts -->
    <!--
    <Manager pathname="" />