Django Sessions se descarta cuando se redirige de otro dominio

Question

Cuando un usuario visita mi dominio, django emite un sessionid. Cuando intenta hacer Oauth con Facebook, hace clic en un botón en mi sitio que redirige a Facebook.com. Facebook redirige a mi dominio, pero en este punto, la sesión del usuario se pierde y Django parece estar emitiendo una nueva variable de sesión.

Quiero que la sesión descartada persista porque debo asociar al visitante a mi sitio con su cuenta de Facebook, pero cuando se cierra la sesión, el usuario que está conectado se desconecta.

Tengo la sospecha de que este puede ser un comportamiento relacionado con la protección XSS de django. ¿Cómo hago para que la información del usuario persista cuando el usuario abandona nuestro sitio para iniciar sesión en Facebook?

Answer 1

Es posible que desee confirmar que las cookies tienen el mismo dominio cuando se crean. Eso a veces puede causar problemas. Si va al sitio web www.example.com y a los puntos de devolución de llamada OAuth a example.com, entonces es posible que tenga dos cookies separadas, una para www.example.com y otra para ejemplo.com

Encender "Preguntar siempre" en su navegador y preste atención a los detalles de la cookie. Asegúrese de que el valor para el campo "Host:" sea el mismo en ambas ocasiones.

La corrección está entrando algo así como .example.com para SESSION_COOKIE_DOMAIN en su archivo settings.py.

Answer 2

También descubrí que si tiene dos aplicaciones de Django ejecutándose en el mismo dominio, para evitar una colisión de cookies, puede establecer SESSION_COOKIE_NAME de manera diferente para cada una.