Добавление флагов cookie "HttpOnly" и "Secure" на Nginx и PHP
У меня Nginx работает с PHP и WordPress. Acunetix рекомендует устанавливать эти флаги, но они не предоставляют никакой документации. Я немного осмотрелся, но не видел ничего, что бы точно показывало, как это реализовать. У меня есть этот модуль: http://wiki.nginx.org/HttpHeadersMoreModule на Nginx, если это поможет. Любая информация о том, как установить эти флаги? Благодарю.
Как и просили здесь образец куки
Cookie: __cfduid=d3-сокращенный-08; cf_use_ob=0; wordpress_logged_in_6dfda укороченной-e3e82d5; __utma=21 укороченной-436,19; __utmc=21519150; __utmz=2119150.1396063475.3.2.utmcsr= Google|utmccn=(органический)|utmcmd= органическая |utmct г = (не%20provided); тестирование = 1; ИСС = а14 укороченной-384; sessiontest=1; WP-настройки-2 = Редактор%3Dhtml%26wplink%3D0%26uploader%3D1%26mfold%3Не%26ed_size%3D 677%26libraryContent%3Dbrowse%26urlbutton%3Dfile; WP-настройки времени-2=139745167; wordpress_test_cookie= РГ + печенье + проверка; wordpress_logged_in_a9 укороченной-d2a7=DrDinosaur%7C1397980 укороченной-2f9
4 ответа
Отредактируйте ваш php.ini и установите session.cookie_httponly и session.cookie_secure или используйте setcookie в вашем приложении.
Файлы cookie устанавливаются в коде PHP, и nginx просто передает информацию, полученную от PHP, посетителю сайта.
Вы можете изменить заголовки с помощью модуля nginx-headers-more, но вы также можете создать новые проблемы с этим подходом.
Более безопасный способ - это исправить код настройки файлов cookie WP, чтобы включить настройку файлов cookie с httponly и безопасными функциями.
Я не знаю, есть ли какие-либо предпочтительные способы их включения в WP, или вам просто нужно взломать реальный код настроек cookie.
Чтобы подтвердить это: __cfduid это cookie, предоставляемый Cloudflare и не содержащий конфиденциальных данных. Вы также не можете изменить его, чтобы иметь secure флаг тоже.
Попробуйте использовать https://github.com/AirisX/nginx_cookie_flag_module. Это решит вашу проблему.