認証キー発行処理をcookieに依存しない実装に変更

[chihiro-adachi]

概要(Overview・Refs Issue)

#4416

方針(Policy)

キャプチャ文字列の保持をセッションを使って実装していたが、セッションCookieがサードパーティーCookieとなるためsafariで動作していなかった。

package-api側をCookieに依存しない実装に変更し、クライアントであるEC-CUBE側もそれに合わせて追随

実装に関する補足(Appendix)

キャプチャ画像リクエスト時に、x-eccube-captcha-idというレスポンスヘッダが返されます。
認証キー発行リクエスト時にx-eccube-captcha-idの値とキャプチャ文字列をセットで渡すことで、キャプチャ文字列の照合を行います。

テスト（Test)

以下ブラウザで動作することを確認しています。

• safari
• chrome のシークレットモード

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更はありません
• フックポイントの呼び出しタイミングの変更はありません
• フックポイントのパラメータの削除・データ型の変更はありません
• twigファイルに渡しているパラメータの削除・データ型の変更はありません
• Serviceクラスの公開関数の、引数の削除・データ型の変更はありません
• 入出力ファイル(CSVなど)のフォーマット変更はありません

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか
  • 権限を超えた操作が可能にならないか
  • 不要なファイルアップロードがないか
  • 外部へ公開されるファイルや機能の追加ではないか
  • テンプレートでのエスケープ漏れがないか

[kiy0taka]

XMLHttpRequest を使用している理由は何かありますか？
とくにないのであればjQueryを使用したほうがいいです。

[chihiro-adachi]

@kiy0taka
jqueryだとバイナリの取得に難がありXMLHttpRequest で代替としています。
https://qiita.com/tom_konda/items/484955b8332e0305ebc4
https://qiita.com/yuma84/items/fefb95c1a10396070cd2

[kiy0taka]

なるほど。理解しました。