3

我有一个仅限 Rails 5 API 的应用程序，并希望在响应 JSON 请求时发送 cookie。当我使用 ActionDispatch::Cookies 在请求的响应中设置 cookie 时，它​​不会Set-Cookie在响应中设置标头。虽然response.set_cookie确实有效。

我还测试了after_action在应用程序控制器中制作一个钩子，我看到的是Set-Cookieresponse.headers 中不存在标头，但存在 cookies['name_of_cookie']。我还想问的一个问题是，这些 cookie(ActionDispatch::Cookies) 何时设置标头作为响应？它发生在机架上吗？

要求

  1. 我们想在 CORS 请求中设置 cookie。
  2. 我们想为所有来源设置 cookie

已经实施的内容

  1. 客户端发送请求withCredentials
  2. 在响应中Access-Control-Allow-Credentials: true并且Access-Control-Allow-Origin: <origin (request.headers['origin'])>在场
  3. 由于它是 Rails API 唯一的应用程序，我们在应用程序中包含以下中间件
config.middleware.use ActionDispatch::Cookies
config.middleware.use ActionDispatch::Session::CookieStore, key: '_namespace_key'

问题

  1. 为什么 ActionDispatch::Cookies 不工作但 response.set_cookie 工作？
  2. ActionDispatch::Cookies 什么时候设置响应头？它发生在afterRails 应用程序的任何回调挂钩中，还是发生在机架中？因为直到after_action在 applicaton_controller 中，标题都不存在。

奇怪的

  1. 在开发环境和我的本地机器上它可以工作，但不能在生产环境中工作。它是否与domaincookie的设置有关？我还在生产中使用安全和 httponly cookie，但在开发中只使用 httponly。

我在这里想念什么？我花了几天时间寻找问题，但找不到解决方法。任何线索都会非常有帮助。谢谢

编辑 1

cookies[@name.to_sym] = {
  value: @value,
  expires: @expire,
  httponly: true,
  same_site: 'None',
  secure: false            # It works when I set it to false but doesn't work with `true` in production. In development env it works with either one.
}

response.set_cookie(
  @name.to_sym,
  value: @value,
  expires: @expire,
  httponly: true,
  secure: true
)

我观察到一件事。如果我secure: false在 cookie 中设置，那么它可以在生产中使用，但不能用于secure: true. 另一方面secure: true，在生产中使用 response.set_cookie。

我的 request.protocol 是 HTTP。如果请求协议是 HTTP 并且secure: true配置了选项，ActionDispatch::Cookies 是否可能甚至不设置 cookie。

但我认为secure: true是针对客户端的。就像如果 cookie 是安全的，那么浏览器只会通过 https 协议发送它。我错过了什么？

4

1 回答 1

2

我得到了这种行为的原因。实际上，其他团队部署了application gateway生产。这导致 Rails 服务器收到最初是 HTTPS 的 HTTP 请求。

现在我已将我的 cookie 标记为secure: true，如果协议是 HTTP，看起来 ActionDispatch::Cookies 甚至不会发送 cookie 来响应请求。它只会在协议是 HTTPS 时发送。如果我禁用了安全，secure: false那么它可以工作，或者如果我禁用应用程序网关，那么它可以与 ActionDispatch::Cookie 一起工作。

客户端属性看起来很奇怪secure，但是从 ActionDispatch::Cookies 的行为来看，如果协议是 HTTP 并且安全设置为 true，它甚至不会从服务器发送 cookie。

虽然我没有找到任何关于这种行为的文档，但这就是它的工作方式。

于 2020-08-07T04:46:23.443 回答