Tomcat 8.5.x Chrome SameSite=None 쿠키 적용

Tomcat 8.5.x에서 Chrome SameSite=None 쿠키 적용

Chrome 80+부터 SameSite=None만 있고 Secure가 없는 쿠키는 크로스사이트 요청에서 전달 안 됨.

server.xml에 CookieProcessor 설정

<Context>
    <CookieProcessor sameSiteCookies="none" />
</Context>

• 구버전 LegacyCookieProcessor 사용 시:

<CookieProcessor className="org.apache.tomcat.util.http.LegacyCookieProcessor" sameSiteCookies="none" />

⚠️ sameSiteCookies 옵션은 Tomcat 8.5.42 이상부터 지원 — 이하 버전이면 업그레이드 필요

web.xml에 HttpOnly/Secure 설정

<session-config>
    <session-timeout>30</session-timeout>
    <cookie-config>
        <http-only>true</http-only>
        <secure>true</secure>
    </cookie-config>
</session-config>

확인: 크롬 개발자도구 > Application > Cookies에서 HttpOnly/Secure/SameSite 속성 적용 확인