Di proxy terbalik nginx, bagaimana cara mengatur bendera aman untuk cookie?

12

Saya menggunakan nginx sebagai proxy terbalik untuk melayani situs https-only. Jadi saya ingin cookie untuk situs ini ditandai sebagai aman. Tetapi server backend adalah http satu sehingga tidak akan mengatur bendera aman untuk cookie-nya. Bagaimana saya bisa memodifikasi header Set-Cookie sebagai tanggapan untuk menambahkan bendera yang aman?

nginx reverse-proxy

— Tianyi Cui
sumber

Ditanyakan dan dijawab pada SO. Lihat SO untuk contoh nginx untuk Tomcat7: stackoverflow.com/questions/19916906/…

— Joseph Lust

1

Penimpaan seperti itu saat ini tidak memungkinkan, tetapi ada masalah / tiket tentang proxy_cookie_secure: trac.nginx.org/nginx/ticket/368 Namun itu belum diterapkan (dan masalahnya sudah tua).

— rugk

Modul pihak ketiga ini dapat membantu Anda.

— Airis

4

Anda mungkin bisa mendapatkan proxy nginx Anda memodifikasi cookie yang dibuat oleh backend dan mengatur bendera aman - untuk inspirasi lihat Bagaimana menulis ulang bagian domain Set-Cookie di proxy reverse nginx? .

Namun saya membayangkan bahwa mendapatkan apa pun yang membuat cookie di backend untuk mengatur bendera aman akan menjadi solusi yang lebih baik. Bagaimana Anda melakukannya adalah cerita lain (atau pertanyaan :).

— Jon Rhoades
sumber

4

Ini mungkin membantu Anda untuk mengatur X-Forwarded-Prototajuk dan memastikan itu ditafsirkan oleh aplikasi Anda. Ini adalah teknik umum dan juga memungkinkan aplikasi campuran http / https untuk bereaksi dengan benar berdasarkan protokol.

— Lukas

4

Saya menggunakan kode konfigurasi nginx berikut:

# make cookie secure (case sensitive)
proxy_cookie_domain ~(?P<secure_domain>([-0-9a-z]+\.)?[-0-9a-z]+\.[a-z]+)$ "$secure_domain; secure";

Alih-alih regex untuk membuat ini dinamis Anda tentu saja dapat menggunakan FQDN.

— r_3
sumber

Apakah ini hanya tanggapan atau permintaan dan tanggapan. Ketika klien mengirim permintaan dengan set bendera aman tidak menghapusnya sehingga server web tidak mengeluh?

— Tigran

Klien tidak mengirim kembali bendera aman di Cookieheader.

— r_3

0

Ini membantu saya:

proxy_cookie_path / "/; secure";

Lihat http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_path

— Grigory Kislin
sumber