Frontend Для Domino Http/https
- Автор темы lmike
- Дата начала
Проверить слушает или нет - через netstat.
А ещё - можно заставить слушать на конкретном IP вместо локалхоста
Правила фаервола могут блокировать коннект от локалхоста к локалхосту.
Nginx прибинден ко всем интерфейсам?
Если да - прибиндить к конкретному.
А ещё - можно заставить слушать на конкретном IP вместо локалхоста
Правила фаервола могут блокировать коннект от локалхоста к локалхосту.
Nginx прибинден ко всем интерфейсам?
Если да - прибиндить к конкретному.
Комрадосы! Прошу помощи зала!
Вводные. nginx фронтом. ssl поднят на одном из доменов site.ru.
Две инструкции server {} для 80 и 443.
Третья с редиректом
server {
listen 80;
server_name site.ru www.site.ru;
return 301 https://$host$request_uri;
}
Все работает. Но есть один POST запрос вида
Который неизменно заканчивается
Mixed Content: The page at '
В конфиге сервера nginx пытался бороть как
Консоль ?logout
Естественно смущает здесь
Location:
http://site.ru/
когда по всем остальным Get и post по сайту вопросов нет.
Вводные. nginx фронтом. ssl поднят на одном из доменов site.ru.
Две инструкции server {} для 80 и 443.
Третья с редиректом
server {
listen 80;
server_name site.ru www.site.ru;
return 301 https://$host$request_uri;
}
Все работает. Но есть один POST запрос вида
Код:
$(document).on('click', '.logout', function(e){
e.preventDefault();
_doSetCookie('autologin','no','',''); //нажата кнопка Выход
$.ajax({
type: 'post',
async : false,
url: '?logout',
data: 'redirectto=person/',
dataType: "json",
success: function(data) {
_doSetCookie('shopcart','onimod');
location.reload();
}
});
});Mixed Content: The page at '
Ссылка скрыта от гостей
' was loaded over HTTPS, but requested an insecure XMLHttpRequest endpoint '
Ссылка скрыта от гостей
'. This request has been blocked; the content must be served over HTTPS.В конфиге сервера nginx пытался бороть как
Код:
if ( $request_method !~ ^(GET|POST|HEAD|OPTIONS|PUT|PATCH|DELETE)$ ) {
return 444;
}
set $origin $http_origin;
if ($origin !~ '^https?://(subdom1|subdom2)\.site\.ru$') {
set $origin 'https://site.ru';
}
#if ($origin !~ '^https?://(subdom1|subdom2)\.site\.ru$') {
# set $origin 'http://site.ru'; #не помогло
#}
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' "$origin" always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PATCH, PUT, DELETE, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Accept, Authorization' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header Access-Control-Max-Age 1728000;
add_header Content-Type 'text/plain charset=UTF-8';
add_header Content-Length 0;
return 204;
}
if ($request_method ~ '(GET|POST|PATCH|PUT|DELETE)') {
add_header Access-Control-Allow-Origin "$origin" always;
add_header Access-Control-Allow-Methods 'GET, POST, PATCH, PUT, DELETE, OPTIONS' always;
add_header Access-Control-Allow-Headers 'Content-Type, Accept, Authorization' always;
add_header Access-Control-Allow-Credentials true always;
}Консоль ?logout
- URL-адрес запроса:
Ссылка скрыта от гостей - Метод запроса:
POST - Код состояния:
302 - Политика источника ссылки:
strict-origin-when-cross-origin
- URL-адрес запроса:
- Заголовки откликовПросмотреть источник
- Access-Control-Allow-Credentials:
true - Access-Control-Allow-Headers:
Content-Type, Accept, Authorization
Access-Control-Allow-Methods:
GET, POST, PATCH, PUT, DELETE, OPTIONS- Access-Control-Allow-Origin:
Ссылка скрыта от гостей#Access-Control-Allow-Origin:Ссылка скрыта от гостейне помогло
- Connection:
keep-alive - Date:
Sat, 17 Sep 2022 19:58:48 GMT - Location:
Ссылка скрыта от гостей - Server:
nginx/1.10.0 - Set-Cookie:
DomAuthSessId=; expires=Thu, 01 Jan 1970 00:00:00 GMT; path=/ - Transfer-Encoding:
chunked
- Access-Control-Allow-Credentials:
Естественно смущает здесь
Location:
http://site.ru/
когда по всем остальным Get и post по сайту вопросов нет.
Последнее редактирование:
это так и есть...
причина - домина не знает про SSL если он на ней не включён (т.е запрос был по хттп к самой домине)
вариант - принудительно в форме делать хттпс (аутентификации)
xhr идет через нжикс, а ответ домина даёт "клиенту"
Последнее редактирование:
Не понял, сэр. Там все относительно. Как делать?
Это же просто лог аут. Никакой формы нет. Тупо ссылка с <base href='https://site.ru/shop/'> https://site.ru/shop/?logout
И nginx должен вернуть тот же локейшон https... Выкурил гугл по nginx cors - не помогло.
А вот при логине все нормально работает без принудилова. И автологин тоже работает.
Я покуда поставил костылек по error. Но такоЭ...
Код:
$(document).on('click', '.logout', function(e){
e.preventDefault();
_doSetCookie('autologin','no','',''); //нажата кнопка Выход
$.ajax({
type: 'post',
async : false,
url: '?logout',
data: 'redirectto=person/',
dataType: "html",
success: function(resp) {
console.log('success for HTTP');
_doSetCookie('shopcart','onimod');
location.reload();
},
error: function (error) {
console.log("for HTTPS insecure XMLHttpRequest endpoint error object:");
_doSetCookie('shopcart','onimod');
location.reload();
}
});
});
Последнее редактирование:
Победил установкой <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">
Вариант 2 в nginx
Ссылка скрыта от гостей
Вариант 2 в nginx
Код:
server {
...
add_header Strict-Transport-Security "max-age=31536000" always;
add_header Content-Security-Policy upgrade-insecure-requests;
...
}
Последнее редактирование:
механизм сессионной аутентификации предполагает форму (или использует умолчальную)
про логаут - я уже смутно помню (куда копать)
и ещё момент - redirectto емнип поддерживает "полный" урл
Последнее редактирование:
Не взлетело. upgrade-insecure-requests решил задачу. Но его надо только на https сайтах цеплять — на http начинает ломиться в https.
К тому же надо делать относительно. Ведь есть еще тестовый сервер, где это надо гасить.
Решается переменной в $$HTMLHead
http :="http"+@If(@Contains(@LowerCase(Server_Name);"site.ru"); "s"; "")+"://";
dbname :=@If(@Contains(@LowerCase(Server_Name);"site");"/shop/";"/"+@WebDbName+ "/");
base_ := http + Server_Name + dbname;
basehref := "<base href=\""+base_ +"\">";
Сорян - не заходил на сайт)
Решается через /location
proxy_redirect http:// $scheme://;
Если Location в ответе содержит http:// - то перенаправит в зависимости от исходного запроса или на http:// Или на https://
Обучение наступательной кибербезопасности в игровой форме. Начать игру!