3

Ситуация такая

есть два сайта (domain.com , a.domain.com), с единой БД и тд.

Если авторизоваться и выйти с главного домена, то куки создаются и удаляются для всех доменов.

Если авторизоваться с a.domain.com, то куки создаются для всех доменом, но, при этом не удаляются, если выйти с главного домена, куки на А остаются :( а выйти с основного, остаются на А.

Как это побороть?

При выходе указываю, что нужно уйти со всех субдоменов, ставя точку перед доменом: .domain.com

public static function authorize($user)
{
    if (self::isAuthorize()) {
        return;
    }
    $_SESSION[self::KEY_TOKEN] = $user->token;
    $_SESSION[self::KEY_ID] = $user->id;
    setcookie(self::KEY_TOKEN, $user->token, time() + 3600 * 24 * 365, '/', 'domain.com', self::isHttps(), self::HTTP_ONLY);
    setcookie(self::KEY_ID, $user->id, time() + 3600 * 24 * 365, '/', 'domain.com', self::isHttps(), self::HTTP_ONLY);
}

# выходим с авторизации
public static function exit()
{
    unset($_SESSION[self::KEY_TOKEN]);
    unset($_SESSION[self::KEY_ID]);
    setcookie(self::KEY_TOKEN, null, null, '/', '.domain.com', self::isHttps(), self::HTTP_ONLY);
    setcookie(self::KEY_ID, null, null, '/', '.domain.com', self::isHttps(), self::HTTP_ONLY);

    }
3
  • Конечно как вариант, можно на сайте А поставить ссылки на вход и выход, на domain.com и потом перенаправлять обратно на сайт А.
    – user303812
    6 авг 2018 в 9:04
  • Попытался воспроизвести с помощью тестового кейса — такое поведение не наблюдается. А какие значения у self::isHttps() и self::HTTP_ONLY? А если попробовать ставить куки на домен .domain.com? 9 авг 2018 в 14:49
  • @Aлександр перенаправлять обратно на сайт А и словить бесконечный редирект - логика будет очень шаткой в таком случае. 9 авг 2018 в 23:18

1 ответ 1

1
+50

Почему вы куку ставите на domain.com а снимаете с .domain.com? PHP отправляет это в заголовок Set-Cookie как есть, а браузеры могут не понять. Второй момент - попробуйте два последних параметра self::isHttps(), self::HTTP_ONLY убрать: для эксперимента(обычно их всегда по умолчанию оставляют).

Ещё один момент - попробуйте убирать куки, проставляя настоящее время в прошлом вместо null:

setcookie(self::KEY_TOKEN, '', time() - 86400, '/', 'domain.com');//например так

Иначе, говорят, не все браузеры поймут что это сброс - опять-же. А так ошибок нет, кука с поддомена, живущая в пространстве основного домена: это нормально, а наоборот: политика безопасности не пропустит.

3
  • "Почему вы куку ставите на domain.com а снимаете с .domain.com?" Проблема в том, что если ставить куку для .домен.ком, то, при авторизации з А.домен.ком, создаются куки для *.a.domain.com и тогда выход даже с главного домена не удаляются :( Cклоняюсь к решению, единой форме авторизации, как на многих, по типу mail, gmail, yandex. создаем домен auth.domain.com и туда направляем запросы на вход/выход, создавая и удаляя куки для domain.com.
    – user303812
    10 авг 2018 в 6:30
  • " А так ошибок нет, кука с поддомена, живущая в пространстве основного домена: это нормально, а наоборот: политика безопасности не пропустит." ТОГДА можно авторизоваться с еще одного аккаунта :( кука не перезаписывается и старая не слетает. и это плохо.
    – user303812
    10 авг 2018 в 6:32
  • @Aлександр не торопитесь решать сложно простые проблемы. С поддомена можно ставить куки в общее пространство( в домен ): это используют многие, проблем нет. Так ставьте куку в пространство домена - на 'domain.com'. Точка в домене куки вообще спорна, смотрите что на PHP net пишут php.net/manual/ru/function.setcookie.php Старые браузеры, следующие устаревшему документу » RFC 2109, могут требовать . перед доменом, чтобы включались все поддомены. . Если вопрос в авторизации, так лучше юзать сессии, просто поменяйте домен - php.net/manual/ru/function.session-set-cookie-params.php 10 авг 2018 в 7:16

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.