TWebResponse.SetCookieField fehlt Support für "SameSite"

[Rolf Frei]

Ich nutze Webbroker (ISAPI/CGI) mit IIS und da scheint der Fix zu funktionieren, zu mindest wenn ich die Sourcen studiere was da gefixt wurde. Habe das aber aktuell so selber noch nicht im Einsatz und weiss nicht ob ich da eventuell was übersehen habe. Wenn das aber nur Indy Server betrifft ist es ein Indy Problem und nicht ein Webbroker Problem. Das betrifft also dann nur Standalone Webserver Anwendungen die auf Indy aufbauen.

Hab mal deinen Report gelesen und finde ihn etwas irreführend/unklar, weil da von Webbroker geredet wird, obwohl es vermutlich nur den Indywebserver betrifft. Bei Verwendung eines Webbrowsers mit IIS und ISAPI/CGI sollte es eigentlich funktionieren oder ich habe dein Problem nicht genau verstanden, weil du da schreibst, dass der WebBroker an den Server sendet. Das kann ich nicht nachvollziehen, weil WebBroker ein Server Teil ist und das an den Clients sendet und nicht umgekehrt. WebBroker sendet nichts an einen Server sondern an einen Client (Browser).

Das Cookie wird ja nur vom Server gesendet und beim Erstellen des Cookies benötigt, damit das Attribute beim Browser ankommt. Danach ist das eine Sache des Browsers (Clients) wie das bei folgendene Anfragen an den Webserver an den Server gesendet wird. Ich glaube, dass das SameSite Attribute vom Browser garnicht gesendet werden muss, weil das ein Clientsache ist, wie man da die Cookies bahandelt und bestommen wird, ob es gesendet wird oder nicht. Der Server muss davon eigentlich nichts mehr wissen.

Was mir aber an der Umsetzung des Bugs betrifft, bin ich leider kein Fan von dem Fix. Da wurde eine Helperklasse gemacht. Sowas finde ich nur als Workaround akzeptabel um einen Interface Break zu verhindern (inkompatible DCU's). Das müsste also zumindest in 10.5 in die Basisklasse und nicht bei einem solchen Murks bleiben. Ich finde es überaupt nicht gut wie vieles da mit Helperklassen gefixt wird, anstatt das sauber in der Basisklasse zu implementieren.