Nginx Proxy sunucusundan Çerezlere Güvenli Bayrak Ekleme

Mozilla, web sitesi yapılandırmanızı kontrol etmek için yeni bir araç yayınladı. observatory.mozilla.org

Ancak tarama Çerezler (-10 puan) hakkında şikayet ediyor: Güvenli bayrağı olmadan oturum çerezi ayarlandı ...

Maalesef nginx'imin arkasında çalışan hizmet, güvenli üstbilgiyi ancak SSL doğrudan orada sona ererse ve SSL nginx'te sona erdiğinde ayarlayamaz. Bu nedenle "Güvenli" bayrağı çerezlerde ayarlanmaz.

"Güvenli" bayrağını bir şekilde nginx kullanarak çerezlere eklemek mümkün müdür? Konumu / yolu değiştirmek mümkün görünmektedir.

http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_domain

http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_path

Bunu yapmanın iki yolunu biliyorum, ikisi de harika. Birincisi, proxy_cookie_path işlevini şu şekilde kötüye kullanmaktır:

proxy_cookie_path / "/; secure";

İkincisi, Headers More modülünün more_set_headers yönergesini şu şekilde kullanmaktır :

more_set_headers 'Set-Cookie: $sent_http_set_cookie; secure';

Bunların her ikisi de öğeleri körü körüne ekledikleri için sorun yaratabilir. Örneğin, yukarı akış güvenli bayrağı ayarlarsa, istemciye aşağıdaki gibi bir kopya gönderirsiniz:

Set-Cookie: foo=bar; secure; secure;

ikinci durumda, yukarı akış uygulaması bir çerez ayarlamazsa nginx bunu tarayıcıya gönderir:

Set-Cookie; secure;

Tabii ki bu çiftplusungood.

Bence birçok insanın sorduğu gibi bu sorunun çözülmesi gerekiyor. Bence bir direktif böyle bir şeye ihtiyaç duyuyor:

proxy_cookie_set_flags * HttpOnly;
proxy_cookie_set_flags authentication secure HttpOnly;

ama ne yazık ki, şu anda mevcut değil :(

Nginx_cookie_flag_module kullanmaya çalışın . Sorununuzu çözecektir.

Feragatname: Modülün yazarıyım.