谷歌 samesite 问题以及如何解决使用session登录验证

最新推荐文章于 2024-11-06 17:22:07 发布

dcfok

最新推荐文章于 2024-11-06 17:22:07 发布

阅读量1.9k

点赞数 1

分类专栏：工作问题文章标签：前端 java 开发语言 spring boot session

本文链接：https://blog.csdn.net/dcfok/article/details/123007701

版权

工作问题专栏收录该内容

1 篇文章 0 订阅

订阅专栏

1.验证码及登录、session

(1) 问题

谷歌的samesite同站问题，并非是跨域的问题，在前后端分离下，前端与后端联调，每次都会发送的新的请求(get请求可以传)，不能把上次的请求session带回来，其流程是：

获取验证码：浏览器发起请求，由于是在前端的项目发起，前端ip与请求接口的不是同源同站，相当于新的请求，不传session给后台，后台于是接收请求，也是判断为新的请求，把session返回给浏览器，浏览器set-cookie，这是第一次请求，后续每次请求都是新的set-cookie。

在这里插入图片描述

(2) 解决方案

1.后端对session用redis进行保存，访问验证码的时候返回一个随机字符串和验证码，同时也存到redis，随机字符串：验证码，再给个有效期，模拟session，login时把随机字符串放请求头，然后在redis里读取随机字符串，校验验证码，无论校验成功与否，去掉redis里的随机字符数据。

2.开发时，前端做个内置的反向代理，原理：浏览器访问反向代理，认为是同一台电脑，无同站问题，会发送session给代理，后端就接收到。

3.生产环境即部署时，我做的是放在同一台电脑上，可以用nginx做反向代理，不会产生问题，因为浏览器认为调用的地址与后端是同一个ip地址，简易的教程https://blog.csdn.net/qq_38247316/article/details/120908595，

4.部署到后端上，也可以规避这个问题，本质上还是发布到了后端的服务器上，所以不会出现这个问题。

5.升级成https，后端设置相应的请求头，可以用过滤器添加，我个人条件有限，未能实现效果。

6.获取验证码的时候，后端设置一个与前端约定好的请求头，后端可以用uuid填充，再放入一个map里，然后用该请求头代替session。

(3) 具体解释

Cookie 的 SameSite 属性 - 阮一峰的网络日志 (ruanyifeng.com)

(4) 我的环境

后端:spring boot+已配置跨域

前端: react

2.nginx如何规避samasite

(1) 配置

    server {
        listen       8850;
        server_name  192.168.aa.bb;
		charset         utf-8;
        #charset koi8-r;
        #access_log  logs/host.access.log  main;
location = /login.html {
            root   html;
        }
location ~* .(jpg|gif|png|js|css)$ {
    root html;
    if (-f $request_filename) {
        expires max;
        break;
    }
}
	location / { 
      proxy_pass http://127.0.0.1:9000;
      proxy_http_version 1.1;
      proxy_connect_timeout 10s;                
      proxy_read_timeout 60s;                  
      proxy_send_timeout 12s;                  
      proxy_set_header Upgrade $http_upgrade; 
      proxy_set_header Connection "Upgrade";   
      #proxy_set_header Host $host;
     }