通过SSH端口转发进行连接时出现Cookie错误

问题描述

我有一个PHP脚本在专用网络内部的远程服务器上运行。而且我只需要通过ssh端口转发(ssh -L ....)远程端口80到本地8080来访问它。该脚本出于身份验证目的设置了cookie。并且,如果我尝试登录浏览器,则丢弃错误为“ set-cookie域属性对于当前主机URL无效”的cookie。但是,如果我在专用网络中登录,则可以正常工作。 脚本使用“ HTTP_HOST”设置cookie setcookie('auth',$hash,time()+$sesstime,"/",$_SERVER['HTTP_HOST'],false,false);

因此,我看到通过端口转发(例如通过内部网络访问)进行连接时,Cookie带有正确的地址。 下一个用于端口转发访问的日志(我的地址是192.168.32.2)

Set-Cookie: auth=431d622765774d602236744a6472324c417c712b194e377130771f64783b7b1a3379306656033a2473; expires=Thu,01-Apr-2021 19:06:04 GMT; Max-Age=18000000; path=/; domain=192.168.32.2:8080

接下来是内部网络访问权限:

Set-Cookie: auth=001228333034422a366337452e6667435573656816157d673430427f636763447e6d632c1c566f6e64; expires=Thu,01-Apr-2021 19:04:51 GMT; Max-Age=18000000; path=/; domain=10.10.1.2

更多变量:

["REMOTE_ADDR"]=> string(11) "10.10.1.2"
["HTTP_HOST"]=> string(14) "192.168.32.2:8080"
["SERVER_NAME"]=> string(11) "10.10.1.2"

有什么解决办法吗?我需要设置正确的端口转发访问权限。

解决方法

Cookie不是特定于端口的,因此从cookie域中删除端口将解决此问题。

8.5。机密性弱

Cookie不提供端口隔离。如果cookie是可读的 通过在一个端口上运行的服务,该Cookie也可以被 在同一服务器的另一个端口上运行的服务。如果Cookie是
Cookie可以由一个端口上的服务写入,cookie也可以由
写入 在同一服务器的另一个端口上运行的服务。为此原因, 服务器不应在两者上互不信任地运行服务
同一主机的不同端口并使用cookie来存储安全性-
敏感信息。

来自RFC 6265。 并且域不包含端口号。 (RFC 1034