NginxはプロキシサーバーのCookieにセキュリティフラグを追加します。

Question

私はこれを行う2つの方法を知っていますが、どちらもあまり良くありません。 1つ目は、次のようにProxy_cookie_pathを乱用することです。

proxy_cookie_path / "/; secure";

2 番目は more_set_headers ディレクティブを使用することです。もっとタイトル 次のモジュール:

more_set_headers 'Set-Cookie: $sent_http_set_cookie; secure';

どちらの方法も盲目的に項目を追加するため、問題が発生します。たとえば、アップストリームが設定されている場合安全次のようにクライアントにコピーを送信することを示してください。

Set-Cookie: foo=bar; secure; secure;

2番目のケースでは、アップストリームアプリケーションがCookieを設定しない場合、nginxはCookieをブラウザに送信します。

Set-Cookie; secure;

もちろんこれは二重と不利です。

この質問は多くの方がお問い合わせいただきましたので解決が必要だと思います。次のようなディレクティブが必要なようです。

proxy_cookie_set_flags * HttpOnly;
proxy_cookie_set_flags authentication secure HttpOnly;

しかし残念ながら、まだ存在していません。 :(

Answer 1