ruby-on-rails - 未设置安全 session cookie

Question

我正在尝试将 session cookie 安全标志设置为 true。我将以下内容添加到我的 environments/production.rb

ActionController::Base.session_options[:secure] = true

在生产模式下，我没有在服务器响应中看到 set-cookie header (我正在使用 Tamper Data Firefox 工具查看流量)。我尝试删除所有 cookie，手动设置包括子域在内的域(因为域在许多应用程序之间共享，appache 服务器将请求转发到正确的应用程序，因此应用程序服务器总是收到请求，就好像它来自本地主机一样).我也尝试在开发模式下测试它，我假设服务器至少应该设置 cookie 即使请求是通过 http 但浏览器不会通过 http 发送 cookie 但服务器不会再次发送 set-cookie header .如果我不设置安全标志， session 就可以正常工作。我在这里遗漏了什么吗？

Answer 1

我发现在我的 actionpack 版本中， session cookie 仅通过 ssl 设置。虽然根据定义，当请求通过 http 时，服务器可以设置安全 cookie，但浏览器不会将其与进一步的请求一起发送。在我的应用程序中，我不在应用程序级别强制执行 ssl，而是在 appache 级别强制执行，因此 rails 发出的初始请求是通过 http 进行的，并且未设置 cookie。