apache - Shibboleth 忽略配置设置

Question

当从命令行 (/usr/sbin/shibd -t) 测试 shibd 时，我看到了这个警告:

WARN Shibboleth.Application : empty/missing cookieProps setting, set to "https" for SSL/TLS-only usage

我的应用实际上只有 HTTPS，所以我想将其扩展到 Shibboleth(我是开发环境，不在生产环境中)。

以前，/etc/shibboleth/shibboleth2.xml 配置文件包含在 ApplicationDefaults 部分:

  <Sessions lifetime="28800" timeout="3600" checkAddress="false"
        handlerURL="/Shibboleth.sso" handlerSSL="true" 
        exportLocation="http://localhost/Shibboleth.sso/GetAssertion"
        exportACL="127.0.0.1"
        idpHistory="false" idpHistoryDays="7">

所以，我添加了以下内容

cookieProps="; path=/; secure; httpOnly" 在 HandlerSSL="true"

之后

同一部分:

  <Sessions lifetime="28800" timeout="3600" checkAddress="false"
        handlerURL="/Shibboleth.sso" handlerSSL="true" cookieProps="; path=/; secure; httpOnly"
        exportLocation="http://localhost/Shibboleth.sso/GetAssertion"
        exportACL="127.0.0.1"
        idpHistory="false" idpHistoryDays="7">

现在我在发出 shibd -t 时看到的错误是:

WARN Shibboleth.Application : custom cookieProps setting should include "; secure" for SSL/TLS-only usage

为什么 shib 会忽略 secure 声明？

Answer 1

使用: cookieProps="https"

对我有用。