Chrome không gửi cookie sau khi chuyển hướng

Question

Trong node.js (sử dụng khung Hapi), tôi đang tạo liên kết để người dùng cho phép ứng dụng của tôi đọc tài khoản người dùng. Google xử lý yêu cầu đó và hỏi về cấp quyền. Sau đó, Google chuyển hướng đến máy chủ của tôi với tham số GET làm mã phản hồi và tại đây tôi gặp sự cố.

Google Chrome không gửi cookie có ID phiên.

Nếu tôi đánh dấu cookie đó là cookie phiên trong tiện ích chỉnh sửa cookie, nó sẽ được gửi. Hành vi tương tự trong php, nhưng php đánh dấu cookie là phiên khi tạo phiên, do đó, nó không phải là vấn đề. Tôi đang sử dụng plugin hapi-auth-cookie, nó tạo phiên và xử lý mọi thứ về nó. Tôi cũng đánh dấu cookie đó trong cài đặt cookie hapi-auth là không HttpOnly, bởi vì nó là sự khác biệt đầu tiên, mà tôi đã nhận thấy, khi kiểm tra cookie phiên PHP và của tôi trong node.js. Tôi có phản hồi xác thực mất tích 401 trên mỗi chuyển hướng. Nếu tôi đặt con trỏ vào thanh địa chỉ và nhấn enter, mọi thứ hoạt động tốt, do đó, nó là một vấn đề với chuyển hướng.

Câu hỏi của tôi về cơ bản là những gì có thể gây ra hành vi đó. Mặt khác tôi phải đề cập đến rằng firefox gửi cookie sau mỗi yêu cầu mà không có bất kỳ vấn đề.

Headers sau khi chuyển hướng (không có cookie với session):

{ 
    "host": "localhost:3000", 
    "connection": "keep-alive", 
    "cache-control": "max-age=0", 
    "upgrade-insecure-requests": "1", 
    "user-agent": "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/54.0.2840.99 Safari/537.36", 
    "x-client-data": "CJS2eQHIprbJAQjEtskECKmdygE=", 
    "x-chrome-connected": "id=110052060380026604986,mode=0,enable_account_consistency=false", 
    "accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", 
    "accept-encoding": "gzip, deflate, sdch, br", 
    "accept-language": "pl-PL,pl;q=0.8,en-US;q=0.6,en;q=0.4" 
} 

Headers sau khi chạm nhập vào thanh địa chỉ (những gì sẽ làm việc tốt):

{ 
    "host": "localhost:3000", 
    "connection": "keep-alive", 
    "cache-control": "max-age=0", 
    "upgrade-insecure-requests": "1", 
    "user-agent": "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/54.0.2840.99 Safari/537.36", 
    "accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", 
    "accept-encoding": "gzip, deflate, sdch, br", 
    "accept-language": "pl-PL,pl;q=0.8,en-US;q=0.6,en;q=0.4", 
    "cookie": "SESSID=very_long_string" 
} 

Answer 1

Vấn đề này là do HAPI-auth -cookie chưa giao dịch với isSameSite (tính năng mới của Hapi). Chúng ta có thể thiết lập nó bằng tay, ví dụ.

const server = new Hapi.Server(
    connections: { 
     state: { 
      isSameSite: 'Lax' 
     } 
    } 
); 

Nhưng hãy xem xét việc đó, theo mặc định bạn có 'Strict' tùy chọn, và trong nhiều trường hợp, bạn có thể không muốn thay đổi giá trị đó.

Answer 2

Bản trình diễn độc lập về sự cố này: https://gist.github.com/isaacs/8d957edab609b4d122811ee945fd92fd

Đó là lỗi trong Chrome.