wordpress - Set-Cookie 阻止我登录 WordPress

Question

我在 Digital Ocean 液滴上的 Apache/2.4.29 (Ubuntu) 18.04 上运行 WordPress 5.3.2。

我的客户要求以下内容:

通过加密 session 传输的所有 cookie，尤其是 session cookie，应标记为“安全”，并且所有 session 信息都应通过 HTTPS 传输。

还应在 cookie 中设置 HttpOnly 标志

因此，我在虚拟主机中定义了以下内容:

Header edit Set-Cookie ^(.*)$ $1;HttpOnly;Secure;SameSite=Strict

然后我测试了 header 响应，可以看到我的 Set-Cookie 已定义。

问题是，我现在无法登录 WordPress。 WordPress 说:

ERROR: cookies are blocked or not supported by your browser. You must enable cookies to use WordPress.

我究竟做错了什么？

Answer 1

Strict可能比您想要的更严格，因为这将阻止在初始跨站点导航时发送 cookie，例如如果我通过电子邮件向您发送了指向您博客上某个页面的链接，那么当您第一次点击该链接时，SameSite=Strict cookie 不会被发送，并且看起来好像您没有登录。
SameSite=Lax这里是一个更好的默认值。然后我会明确地查看设置 SameSite=Strict或 SameSite=None在您知道所需访问级别的单个 cookie 上。
HttpOnly属性还可以防止 JavaScript 读取所有服务器端设置的 cookie。您的页面上可能有需要此功能的功能。

最后，这里的一揽子方法可能是矫枉过正 - 因为看起来好像您要将此片段附加到 每传出 cookie header ，即使是那些已经包含这些属性的 header 。这可能会导致一些不可预测的行为。我会通过检查明确的 cookie 名称在特定的允许列表基础上执行此操作，或者我会更改正则表达式以仅在缺少这些属性时才设置它。