はじめに
OCIのAPI Gatewayを利用して、バックエンドにOCI Functionsを設定し、クライアントにSet-Cookieヘッダーを返す際に、意図しないドメイン属性への変更が発生する問題に直面しました。
本記事では、問題の切り分け、調査過程、最終的な結論をまとめます。
問題の概要
API Gatewayにはsub.example.comというドメインを設定しています。
そのAPI Gatewayのバックエンドに設定したOCI Functionsで、Set-Cookie ヘッダーを利用してクライアントへクッキーを送信した際、ドメイン属性（Domain）を「example.com」に設定しても、レスポンスヘッダーでは「sub.example.com」に上書きされる問題が発生しました。
以下のようなコードで Set-Cookie を設定しています。
import io
import json
import secrets
from fdk.response import Response
from fdk.context import InvokeContext
def handler(ctx: InvokeContext, data: io.BytesIO = None) -> Response:
value = secrets.token_hex(32)
return Response(
ctx, response_data=json.dumps(
{
"code": 200,
"testCookie": value
}
),
headers={
"Content-Type": "application/json",
"Set-Cookie": f"testCookie={value}; Secure; HttpOnly; Domain=example.com; Path=/; Max-Age=2592000; SameSite=None"
},
status_code=200
)
しかし、実際のレスポンスヘッダーでは Domain=sub.example.com に書き換えられてしまいます。
問題の切り分け
1.ドメイン属性の指定
- Domain=example.com を指定 → sub.example.com に上書き
- Domain=.example.com を指定 → sub.example.com に上書き
- Domain を指定しない → Set-Cookie に Domain 属性が含まれない。セットされるCookieのドメイン属性はsub.example.comとなる。
2.CORS の影響
OCI サポートから「CORS ポリシーが影響している可能性がある」との指摘を受けたため、一時的に CORS ポリシーを無効化して動作を確認しました。
しかし、CORS ポリシーを無効にしても、Set-Cookie の Domain が sub.example.com に上書きされる挙動は変わりませんでした。
3.API Gateway の仕様かバグか
再度 OCI サポートに問い合わせたところ、「現在の挙動はバグであり、修正対応中」との回答を得ました。
まとめ
OCI API Gateway で Set-Cookie ヘッダーのドメイン属性が上書きされる問題について、調査を進めた結果、OCI 側のバグであることが判明しました。
最終的には OCIサポートの対応により迅速に修正がされ、意図した Domain 属性でクッキーをセットできるようになりました。
この問題を通じて、OCI API Gateway の挙動に関する理解が深まり、また、公式サポートへの問い合わせの重要性を再認識しました。
同様の問題に直面した際には、まず API Gateway の仕様を確認し、必要に応じてサポートに問い合わせることが有効です。
本記事が、同じ問題に悩む方の参考になれば幸いです。