Nginx Dodaj bezpieczną flagę do plików cookie z serwera proxy

Mozilla właśnie wydała nowe narzędzie do sprawdzania konfiguracji twojej witryny. observatory.mozilla.org

Ale skan narzeka na pliki cookie (-10 punktów): zestaw plików cookie sesji bez flagi Bezpieczne ...

Niestety usługa działająca za moim nginx może ustawić bezpieczny nagłówek tylko wtedy, gdy SSL kończy się tam bezpośrednio, a nie wtedy, gdy SSL kończy się na nginx. Zatem flaga „Bezpieczna” nie jest ustawiona na ciasteczkach.

Czy można w jakiś sposób dołączyć flagę „bezpieczne” do plików cookie przy użyciu nginx? Modyfikacja lokalizacji / ścieżki wydaje się możliwa.

http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_domain

http://nginx.org/en/docs/http/ngx_http_proxy_module.html#proxy_cookie_path

Znam dwa sposoby na zrobienie tego, żaden z nich nie jest świetny. Pierwszym jest nadużycie ścieżki proxy_cookie_path w następujący sposób:

proxy_cookie_path / "/; secure";

Drugim jest użycie dyrektywy more_set_headers z modułu Headers More w następujący sposób:

more_set_headers 'Set-Cookie: $sent_http_set_cookie; secure';

Oba mogą powodować problemy, ponieważ na ślepo dodają przedmioty. Na przykład, jeśli upstream ustawi bezpieczną flagę, zakończysz wysyłanie klientowi takiego duplikatu:

Set-Cookie: foo=bar; secure; secure;

aw drugim przypadku, jeśli aplikacja nadrzędna nie ustawi pliku cookie, nginx wyśle ​​to do przeglądarki:

Set-Cookie; secure;

Oczywiście jest to podwójne plus.

Myślę, że ten problem należy rozwiązać, ponieważ wiele osób o to pytało. Moim zdaniem potrzebna jest taka dyrektywa:

proxy_cookie_set_flags * HttpOnly;
proxy_cookie_set_flags authentication secure HttpOnly;

ale niestety obecnie nie istnieje :(

Spróbuj użyć modułu nginx_cookie_flag_module . To rozwiąże twój problem.

Oświadczenie: Jestem autorem modułu.