基于 CURL 和 PHP 会话的身份验证

Question

我在https://app.example.com 上有一个申请。该应用程序需要用户登录；如果他们未登录，则在尝试访问此域上的任何 URL 时，他们将被重定向到 https://app.example.com/login.php。

当用户成功登录后，应用程序使用原生 PHP 会话来维护登录状态。

我们在https://db.example.com 上有一个单独的应用程序。这是使用 CakePHP 3 构建的。它被配置为用户将无法访问此域上的任何 URL，除非他们首先通过 https://app.example.com 登录。这是通过将session.cookie_domain 配置为.example.com 然后将用于会话的cookie 设置为PHPSESSID 来完成的：

// config/app.php on db.example.com
'Session' => [
    'defaults' => 'php',
    'cookie' => 'PHPSESSID',
    'timeout' => '0',
    'ini' => [
        'session.cookie_domain' => '.example.com',
        'session.cookie_httponly' => 'off'
    ]
];

app.example.com 上的 db.example.com 包含一个脚本，该脚本在每个请求上运行。这 - 结合读取会话 cookie 的能力 - 意味着我们正在检查用户是否已登录，然后他们才能访问 db.example.com 上的任何内容；如果没有，他们会被重定向到app.example.com/login.php。

到目前为止一切正常。

问题是我正在尝试在db.example.com 上的应用程序的一部分中向db.example.com 上的另一个URL 发出CURL 请求（为此使用Cake 的内置功能：https://book.cakephp.org/3.0/en/core-libraries/httpclient.html），但为了响应是一个 302 重定向到https://app.example.com/login.php。

请求是从https://db.example.com/foo 到https://db.example.com/bar - 这也需要在POST 数据中的id 参数 - 像这样：

// Request made by /foo:
public function foo()
{
    $this->autoRender = false;

    $http = new Client();

    $response = $http->post('https://db.example.com/bar', [
        'id' => '12345'
    ]);

    debug($response);
}

上面的输出是一个 HTTP 302，其位置设置为app.example.com 上的登录页面：

object(Cake\Http\Client\Response) {
    [protected] code => (int) 302
    [protected] cookies => null
    [protected] reasonPhrase => 'Found'

// ...

'Set-Cookie' => [
    (int) 0 => 'PHPSESSID=g9aeqt2acol6av03rqul2puo20; path=/; domain=.example.com; secure'
    ],
'Location' => [
    (int) 0 => 'https://app.example.com/login.php'
    ], 

}

我已阅读Keeping session alive with Curl and PHP，但看不到还有什么配置可以解决这个问题？

当Set-Cookie 具有正确的会话/cookie/域详细信息时，我也不理解调试信息的cookies => null 部分。

环境详情：

• app.example.com 和 db.example.com 在同一台服务器上。
• 两者都使用 PHP 7.0.33
• db.example.com 使用 CakePHP 3.5.13 作为框架；但app.example.com 使用原生 PHP（无框架）。
• Web 服务器是 Apache 2 / CentOS。

Answer 1

HTTP 客户端不会使用正在运行的应用程序中的 cookie 或任何其他应用程序状态自动填充自身，正如 @misorude 在 cmets 中所提到的，您的代码不会将任何 cookie 设置为客户端，因此它不会发送任何内容。

您必须自己设置所需的会话 cookie，例如对于单个请求：

$data = [
    'id' => '12345'
];
$config = [
    'cookies' => [
        //'PHPSESSID' => $this->request->getSession()->id() // before CakePHP 3.6
        'PHPSESSID' => $this->getRequest()->getSession()->id()
    ]
];
$response = $http->post('https://db.example.com/bar', $data, $config);

响应对象上假定的 cookies 属性为空是一个调试显示“问题”，该类没有自定义调试输出，因此使用 PHP 默认值，其中将包括受保护的属性，如 $cookies，但是，在您调用正确的方法来读取 cookie 之前，它不会被填充，即 getCookies()、getCookie()、getCookieData() 或 getCookieCollection()。

另见

• Cookbook > Http Client > Setting and Managing Cookies
• Cookbook > Http Client > Accessing Cookie Data