Begetan 20 окт 2011 в 18:27

Проксируем Cookies на Nginx при помощи модуля lua-nginx

4 мин

31K

Nginx *

+62

Комментарии 18

lek 20 окт 2011 в 18:50

Картинка к посту вызывает странные ассоциации.

Begetan 20 окт 2011 в 20:27

Новая картинка лучше?

ComodoHacker 20 окт 2011 в 20:48

По мне старая лучше.

P.S. ~~неблокируемую~~ неблокирующую

lek 20 окт 2011 в 21:23

Да и старая плохой не была. Даже всесело получилось :)

Begetan 20 окт 2011 в 21:51

За старую стеcнялись голосовать :)

remal 20 окт 2011 в 20:49

Если домен передается на backend через HTTP заголовок Host, то почему скрипты на этом самом backend'е это не используют? Или я чего-то очень сильно не понимаю?

Begetan 20 окт 2011 в 21:48

Если есть доступ к backend и на нем есть возможность выставить нужную настройка, то проблемы нет. Целых два «если».

remal 21 окт 2011 в 09:24

А можно увидеть реальный пример, когда это невозможно? Изначально же backend же должен реагировать на заголовок Host?..

Begetan 21 окт 2011 в 10:09

Я понял вопрос. На бэкенд передается заголовок Host из запроса клиента, в нем изначально имя фронтэнда и его проксирует Nginx. Бэкенд реагирут на заголовок Host, но в нем уже содержится имя бэкенда.

Вы предлагаете:

а) Отключить проксирование заголовка Host в Nginx
б) СДелать чтобы бэкенд выдавал домен взятый из хоста.

Мне кажется что реализация а) прямо сломает работоспособность бекенда, например по заголовку host определяется Virtual Server

Реализация б) потенциальное отверстие в защите
Тоже самое — просто не устанавливать поле домена в куки.

За примером далеко ходить не нужно, вот ответ главной habrahabra

Set-Cookie:hfl=top; expires=Mon, 21-Nov-2011 09:46:33 GMT; path=/; domain=.habrahabr.ru

Если вы запроксируете хабр через Nginx, то несмотря на имя вашего сайта my-blackjack-habr-with-bitches.ru в кукак будет по прежнему domain=.habrahabr.ru Не будет работать авторизация и прочий функционал, который требует рабочих кук (может и к лучшему?)

Вы кончено можете обратится к админам и попросить выставлять домен .my-blackjack-habr-with-bitches.ru, или снять вообще эту установку, но есть подозрения что добиться реакции будет несколько сложнее, чем написать несколько строчек на Lua.

remal 21 окт 2011 в 12:20

Пишем в конфиге nginx'a «proxy_set_header Host $host;» После этого на backend будет передаваться тот же заголовок Host, что и был передан на frontend. Ровно также все работает, если nginx'a вообще нет.

У меня все это прекрасно работает и в случае с Apache, и с Tomcat.

BasilioCat 20 окт 2011 в 21:19

Поделюсь полезным знанием, как не прибегая к Lua и mod_sub заставить счастливо жить фронтэнд на nginx и бэкенд на Tomcat (в данном случае с jira)
Nginx слушает на порту 443 (https) и проксирует на порт 8080 к Tomcat'у. Чтобы приложение (Jira) не думало себе лишнего о том, на каком оно хостнэйме и порту живет, прописываем в конфиге Tomcat

  

 <Connector port="8080" 

...

 scheme="https" secure="false" 

 proxyName="frontend.host.name.here" proxyPort="443" 

...



и проблемы с ajax вас не будут беспокоить

mrpsycho 15 ноя 2011 в 20:34

а можно чуть подробнее про ajax проблемы с томкатом через нгинкс?

BasilioCat 16 ноя 2011 в 08:22

Урл для AJAX запроса часто генерируется приложением, а не определяется в JS из текущей схемы и адреса. В таком случае приложение определяет схему исходя из переменных, переданных ему веб сервером. Ну и если внутри страницы, запрошенной браузером через https, делается запрос к http, то JS возвратит ошибку. Указанный вариант обманывает приложение, говоря что схема запроса — HTTPS.