nginx(七十二)nginx中与cookie相关的细节探讨

wzj_110

已于 2023-04-30 09:09:32 修改

阅读量6.1k

点赞数 1

分类专栏： nginx 文章标签： nginx Cookie

于 2023-04-29 11:26:52 首次发布

本文链接：https://blog.csdn.net/wzj_110/article/details/130354505

版权

nginx 专栏收录该内容

99 篇文章 146 订阅

订阅专栏

背景知识铺垫

一 nginx中与cookie相关

① Cookie请求头内容回顾

cookie的形式和属性

② nginx获取cookie值的两种方法

1) $http_cookie  -->获取Cookie请求头"所有值"

2) $COOKIE_flag  -->获取Cookie请求头的"某个key"

  [1]、'脱敏'场景在'日志'中只记录'非敏感'的key

  [2]、由于nginx会进行'lowcase',将所有的字符转化为'小写',推荐使用$COOKIE_lowercase形式

3) nginx也可通过'map'获取指定的cookie

4) 理解了'Cookie'请求头的构成,就理解了'方法二'的正则

③ nginx对Cookie请求头限制

常见： 响应头中的'Cookie'头大,导致'400'报错

client_header_buffer_size

相关参考

If the directive is specified on the server level,\

  the value from the 'default server' can be used  --> "如何理解"?

解读： 如果指令是在'server'级别指定,则仅server为'默认server'才使用'该指令'

off:  不忽略无效的'请求头',让其'透传'过去

除了下划线,nginx还可能丢弃哪些请求头

重点： nginx对ignore_invalid_headers'无效头'的判定

1) 就是'英文字母'、'数字'、'连字号'和'下划线'

2) 对'下划线'进行特殊处理,下划线可以通过'underscores_in_headers'控制

特殊场景： 需要'_下划线'、'.点 --> key为 a.b'

1) 如果'带invalid_header'且'打开ignore_invalid_headers on'配置,就会'输出日志'并忽略

2) error_log logs/error.log info;

3) error.log的'日志级别'有debug, info, notice, warn, error, crit, alert, emerg

4) 打开'error_log'的info日志,可以看到'告警'信息

client sent invalid header line: "xxxx" while reading client request headers

③ nginx对上游Set-Cookies响应头属性的处理

proxy_cookie_xxx指令的深入了解

+++++++++ "(1) 属性的处理" +++++++++

常见：'domain'、'path'、'secure'、'httponly'、'samesite'属性'修改'

涉及'3'个指令:

  [1]、proxy_cookie_domain   --> 默认是'off'

  特点：通过Set-Cookies中的'domain属性'来判断,进行'pdomain'属性的修改

  [2]、proxy_cookie_path     --> 默认是'off'

  特点：通过Set-Cookies中的'path属性'来判断,进行'path'属性的修改

  思考：正则形式是'第一个'还是'所有的'匹配

  特殊1：proxy_cookie_path / "/;secure"  --> "可以附加其它属性",使用'不规范'

  特殊2：proxy_cookie_path  '非'正则时候应该是'前缀替换',而不是'中间替换'或'全局替换'

  [3]、proxy_cookie_flags    --> 默认是'off','1.19.3'版本引入

  特点：通过Set-Cookies中的'key'来判断,进行'相关属性'的修改

注意：每个指令的'default值',以及'指令'哪个'版本'提供的

补充：只是'单向'对'上游响应头Set-Cookies'的处理

说明：两个'维度' --> 基于'cookie-av'进行'av'修改;基于'key'进行'av'修改

'多指令'附加'细节'：

  1) 由于可能包含多个'Set-Cookies'响应头,nginx也可能包含多个'属性指令',以及多个'相同'指令

  2) 某一个'Set-Cookies'经过相同指令'cookie-av'属性的洗礼,第一个'属性指令'匹配即'停止'

  3) 再继续经过其它'cookie-av'处理

注意： 一些高级属性与'nginx版本'的适配

相关属性见该博客

+++++++++ "(2) Set-Cookies响应头的处理" +++++++++

1)	proxy_cache_valid '指令'

如果包括 'Set-Cookie' 响应头,该响应'不会'被缓存

2) 	proxy_ignore_headers

3)  proxy_hide_header

思考： 哪些'响应头字符'是合法的

备注：'点'在ASCII中是46'2e',至少是'满足RFC规范'的

案例： 响应头'eg --> "Host "'带空格,nginx处理'报错'

④ nginx处理跨域请求Cookie

+++++++++++ "细节点" +++++++++++

1) 204 '状态码'  --> add_header 'always'

HTTP 204状态码含义： 请求已经被处理,但无返回内容'No Content',这里指的是'response body'

'204'的三个应用场景：

   [1]、跨域==> 204 --> add_header 'always'

   [2]、PUT、DELET进行'资源'更新  --> '元数据更新'

   [3]、OPTIONS预检请求,正确['204'],错误['412']

   备注：Range相关的206和416状态码

 204（No-Content），服务器成功处理了请求，但不需要返回任何实体内容

3) 了解'常见报错'

重点理解各种Access-Control-Allow响应头以及跨域的报错

Nginx通过Cookie做灰度就这么简单

默认proxy_set_header Host $proxy_host导致跨域Cookie丢失

nginx 反向代理及 Cookie 的四个问题

nginx 使用 proxy_cookie_path 解决反向代理 cookie 丢失导致无法登录等问题

⑤ Cookie在nginx的应用

思考：nginx利用cookie可以'做哪些操作'? --> 'map匹配'

场景：获取Cookie中的信息进行'限流'、'黑白'名单、'灰度'发布等

备注：后续'写一个专栏'

nginx发送一次请求的完整过程

⑥ Cookie浏览器使用的限制

1) 不同'厂商'的浏览器,并且相同厂商的'不同版本'的浏览器,对Cookie的使用'有差异'

  备注： 涉及Cookie的'存储'和'使用'

2) 后续关注

  [1]、'CSRF'的机制

  [2]、Cookie丢失的原因   --> "抓包分析"
 
    1) 是指请求'没有携带'预期的Cookie

    2) 还是js读取不到后端返回的Set-Cookie

  [3]、session共享方案 --> memcached、tomcat自身的、redis、spring的集成方案

理解lua指令