PHPで、クッキーにSameSite属性を付ける

7.3以降で追加されたSameSite属性の設定手段いろいろ

php.ini に書く

; Add SameSite attribute to cookie to help mitigate Cross-Site Request Forgery (CSRF/XSRF)
; Current valid values are "Strict", "Lax" or "None". When using "None",
; make sure to include the quotes, as `none` is interpreted like `false` in ini files.
; https://tools.ietf.org/html/draft-west-first-party-cookies-07
session.cookie_samesite = "Lax"

ここに書けるなら一番楽

session_get_cookie_params() で書く

<?
session_set_cookie_params(["samesite"=>"Lax"]);

session_start() より前に呼び出さないとダメ

session_start(), setcookie() で書く

<?
session_start(["samesite"=>"Lax"]);

setcookie("dinner", "unko", ["samesite"=>"Lax"]);

必要なところにだけ書きたいとき

7.3以前は裏技を使うしかないので無視する

確認手段

クッキーは取得するといろんな属性コミで保存されるので、設定がちゃんとできてるか確認したいときは いったんブラウザのクッキーをかならず削除する必要がある。