谁在 HTTP 中使用 apache2 在 PHP 中删除 Secure Cookie？答案

【问题标题】：Who drop Secure Cookie in PHP with apache2 in HTTP?谁在 HTTP 中使用 apache2 在 PHP 中删除 Secure Cookie？
【发布时间】：2022-01-20 08:00:01
【问题描述】：

我正在学习php的session和cookie配置。

我在 localhost 的 apache2 服务器中设置了一个 php 运行。

我尝试使用insomnia 工具通过下面的脚本向端点（http://localhost:8000/test.php）发送 GET 请求。

<?php

session_start(['cookie_secure' => true]);

if (isset($_SESSION['token'])) {
    exit($_SESSION['token']);
}

$_SESSION['token'] = bin2hex(random_bytes(32));

exit;

在第一次请求之后，我设法获得了session cookie 并设置了$_SESSION['token']。

当我发送第二个请求时，我没有收到token。原因是 php 没有收到session cookie。

我的问题是谁在第二个请求中真正丢弃了 cookie？ insomnia 或 php 或 apahce2?

【问题讨论】：

标签： php apache2 insomnia

【解决方案1】：

Insomnia 会放弃它，因为您将 cookie 标记为安全然后使用 HTTP 而不是 HTTPS。

【讨论】：

谢谢。我设法通过使用浏览器向端点发送请求来验证它，并且 php 在第二个请求中确实收到了安全 Cookie。因此，这意味着 php 和 apache2 都不会丢弃 cookie。 PS: browser didn't drop secure cookie from localhost