Secure flag für Cookies

Thema wurde von Dominik Späte, 21. November 2018 erstellt.

  1. Dominik Späte
    Dominik Späte Erfahrener Benutzer
    Registriert seit:
    16. Oktober 2018
    Beiträge:
    1.251
    Danke erhalten:
    1.141
    Danke vergeben:
    391
    ...kann man m.E. langsam mal drüber nachdenken. Der ein oder andere hat ja inzwischen ein SSL-Zertifikat.

    Da die php.ini-Einstellungen leider von der Anwendung überschrieben werden, ändere ich es bei meinen Kunden einstweilen in den 3 (um nicht zu sagen: DRY) Original-Dateien:

    /includes/application_top.php & /includes/application_top_main.php
    Alt:
    session_set_cookie_params(0, '/', (xtc_not_null($current_domain) ? '.'.$current_domain : ''), false, true);
    Neu:
    session_set_cookie_params(0, '/', (xtc_not_null($current_domain) ? '.'.$current_domain : ''), true, true);

    /admin/includes/application_top.php
    Alt:
    session_set_cookie_params(0, '/', (xtc_not_null($current_domain) ? '.' . $current_domain : ''), false, true);
    Neu:
    session_set_cookie_params(0, '/', (xtc_not_null($current_domain) ? '.' . $current_domain : ''), true, true);

    Eine Non-SSL kompatible könnte so aussehen:
    session_set_cookie_params(0, '/', (xtc_not_null($current_domain) ? '.' . $current_domain : ''), (strpos(HTTP_SERVER, 'https') === 0), true);

    Bitte den einleitenden Zynismus ignorieren und für kommende Versionen in Erwägung ziehen. Danke ;-)
     
  2. Wilken (Gambio)
    Wilken (Gambio) Erfahrener Benutzer
    Registriert seit:
    7. November 2012
    Beiträge:
    18.737
    Danke erhalten:
    7.311
    Danke vergeben:
    2.208
  3. Dominik Späte
    Dominik Späte Erfahrener Benutzer
    Registriert seit:
    16. Oktober 2018
    Beiträge:
    1.251
    Danke erhalten:
    1.141
    Danke vergeben:
    391
    Gracias! Wenn "wir" eh schon da dran sind vielleicht gleich noch den Cookie-Pfad auf das Installationsverzeichnis des Shops ändern, um Overhead zu vermeiden, falls der Shop in einem Unterverzeichnis installiert ist.
     
  4. Wilken (Gambio)
    Wilken (Gambio) Erfahrener Benutzer
    Registriert seit:
    7. November 2012
    Beiträge:
    18.737
    Danke erhalten:
    7.311
    Danke vergeben:
    2.208
    Hmm, im Prinzip ja. Da muss man aber mal schauen ob das ohne Nebenwirkungen abgeht.
     
  5. Dominik Späte
    Dominik Späte Erfahrener Benutzer
    Registriert seit:
    16. Oktober 2018
    Beiträge:
    1.251
    Danke erhalten:
    1.141
    Danke vergeben:
    391
    Alles klar, ist m.E. nur nice-to-have und betrifft eh die wenigsten. Die Security-Sache ist sehr viel wichtiger. Danke!