PHP: Control de dominio/subdominio de cookies

Question

Estoy trabajando en un sitio con múltiples subdominios, algunos de los cuales deberían tener su propia sesión.

Creo que lo he solucionado, pero he notado algo sobre el manejo de cookies que no entiendo. No veo nada en los documentos que lo explique, así que pensé que vería si alguien aquí tiene algo que ver con la pregunta.

Si acabo de hacer:

session_start(); 

termino con una cookie de sesión como esto:

subdomain.example.net

Sin embargo, si hago cualquier intento de establecer la cookie dominio de mí mismo, ya sea como

ini_set('session.cookie_domain', 'subdomain.example.net'); 

o como

session_set_cookie_params(0, "/", "subdomain.example.net", false, false); 

termino con una galleta para .subdomain.example.net (tenga en cuenta el punto de apertura), que creo que significa "coincide con todos los subdominios (o en este caso sub-subdominios).

Esto parece suceder con todas mis cookies en realidad, no solo la sesión. Si configuro el dominio de cookies yo mismo, automáticamente tiene el punto antepuesto, es decir, este dominio y todos sus subs. Si no configuro el dominio, lo hace bien utilizando solo el dominio actual.

¿Alguna idea de lo que hace esto y qué puedo hacer para controlar ese punto anterior?

Gracias!

Answer 1

Las funciones de cookies de PHP automáticamente preceden $ dominio con un punto. Si no desea este comportamiento, puede usar la función header. Por ejemplo:

header("Set-Cookie: cookiename=cookievalue; expires=Tue, 06-Jan-2009 23:39:49 GMT; path=/; domain=subdomain.example.net"); 

Answer 2

Si ejecuta el script PHP bajo "http://subdomain.example.net", no utilizan el parámetro de dominio:

setcookie('cookiename','cookievalue',time()+(3600*24),'/'); 

Usted recibirá una cookie con "subdomain.example.net "(y no" .subdomain.example.net ")

Answer 3

Esto puede ayudar a alguien (pasé algunas horas para resolver esto). Después de realizar los cambios en los archivos fuente y antes de probarlos, cierre su navegador para destruir PHPSESSIONID correctamente en todos los dominios y subdominios.

Espero que esto ahorre tiempo!

Answer 4

Si lee todo el RFC 6265, se dará cuenta de que la única forma correcta de tener una cookie "solo de host" es NO establecer el atributo del dominio.

http://tools.ietf.org/html/rfc6265#section-5.4

Answer 5

Comprendo que esto es una vieja pregunta, pero yo estaba teniendo este problema y ninguna de las respuestas por encima de todo lo hizo.

Quería establecer la cookie de sesión para un subdominio, pero también habilitar httponly y seguro.

Para evitar una ventaja. Delante del subdominio, Kevin y stolsvik son correctos, no establezca el atributo del dominio.

Así que para hacer esto y ser capaz de establecer httponly y el modo seguro todavía, establecer el dominio en NULL de la siguiente manera:

session_set_cookie_params(0, '/', NULL, TRUE, TRUE); 

que ahora tendrá una cookie de sesión, para un subdominio específico (sin líder .) con httponly y seguro establecido en verdadero.