express-sessionでcookieが保存されないとき
@Get() findAll(@Session() session: Record<string, any>) { session.visits = session.visits ? session.visits + 1 : 1; } しかしフロントエンドから実行してもブラウザにcookieに保存されない。 色々調べていたらこちらの記事を発見。 とても基本的な間違いで、axiosでrequestするときにwithCredentialsがtrueになっていなかった。 const API = axios.create({ baseURL: 'http://localhost:5000', withCredentials: true, }); 以前もこの設定で間違えていたのでメモしておく。 Same siteのエラーでset cookieがエラーになるとき deployして本番環境で、same
サブドメインの異なるサービス間で cookie を共有する - Qiita
https://www.nicovideo.jp // ニコニコ動画 https://live.nicovideo.jp // ニコニコ生放送 https://ch.nicovideo.jp // ニコニコチャンネル 例えば上記のように、異なるサブドメインにおいてもログインセッションなどのデータを共有したい場合があります。 セキュリティの都合上オリジン(<scheme>://<hostname>:<port>)の異なる場所と JavaScript 内でデータの送受信を行う場合はオリジン間リソース共有(CORS)の仕組みを利用する必要があります。 しかし、 CORS のような仕組みを信頼されうるサブドメインの違いだけで利用するのは面倒です。 今回は Cookie の仕様を用いて、データを共有出来るようにします。 要約 ;domain=example.com オプションを付けること。 doma
Nuxt.jsでログインをどうやるか、そしてCookieからlocalStorageへ - DJ lemon-Sour's diary (prod.hisasann)
🦑 まえがき Nuxt.js でいわゆる basic なログインの仕組み （ユーザーID・パスワードを入れる系）を作ろうとすると、なかなか大変で、これは Cookie が SSR 時と CSR 時に API サーバーまで勝手に送信するしないの話などあり、結構気にする箇所は多くなります。 Cookie を使ったパターン では、 Cookie はあくまでも Nuxt.js 側のみで使用し、 BFF との通信は、リクエストヘッダーにログイントークンをのせて送信しています。 また、ログイン処理後はレスポンスヘッダーからログイントークンをもらい、それを Cookie に保存します。 それについての考察は以下にまとめております。 Nuxt.jsを使ったログイン周りの仕組みについて · hisasann/typescript-nuxtjs-boilerplate Wiki また、 OAuth 版ではあ
手っ取り早くウェブアプリケーションにOAuth2認証を導入する - その手の平は尻もつかめるさ
bitly/oauth2_proxyを用いて，ウェブアプリケーションに手っ取り早くOAuth2認証を導入するという話です． oauth2_proxyは良い感じでOAuth2による認証を肩代わりしてくれる君で，何らかのリバースプロキシの認証機構と組み合わせて利用すると簡単にOAuth2ログインを実現することができます． 今回は例としてKibanaにGoogleのOAuth2ログインを導入してみたいと思います． 構成 Kibana bitly/oauth2_proxy nginx +------+ +-------+ +--------------+ +--------+ | | | | ----auth----> | | | | | user | --request--> | nginx | | oauth2_proxy | <--auth--> | Google | | | | | <--
Big Sky :: ダウンロードの進捗プログレスバー実装は可能か
要求仕様から工数を出す側から言うと「ブラウザのダウンロード画面に進捗出てるから要らないでしょ」と言いたい所でしたが「出来ないのか」と言われると「出来るもん」と言わざると得ないエンジニア魂。 JavaScript - ブラウザから、ファイルをダウンロードしている途中で、プログレスバーを実装したい。完了したら、プログレスバーを閉じたい。(81363)｜teratail 前提・実現したいこと javaScript/HTML/CSSを利用しております。 目的は、ブラウザから、ファイルをダウンロードしている途中で、プログレスバーを実装したい。完了したら、プログレスバーを閉... https://teratail.com/questions/81363 通常、ブラウザからファイルをダウンロードする際は javascript からは制御できません。サーバからバイト列を JSON で Range っぽく返
Big Sky :: ログイン認証をマイクロサービス化する「loginsrv」
認証を持たないウェブアプリケーションをいざ認証に対応させようと思うと案外面倒でモチベーションを無くしてしまうなんて事もよく起きうる話です。特に社内向けのアプリケーションを作っていたら本番で使う事になってしまって、なんて話は良くある話です。開発で本番 DB を見るのはちょっと...。でも既存のコードをゴリゴリと触りたくない。そんな場合にログイン認証部分だけマイクロサービス化できると気持ちも幾分和らぎます。今日はそんなちょっと便利なサーバ「loginsrv」を紹介したいと思います。 GitHub - tarent/loginsrv: JWT login microservice with plugable backends such as OAuth2, Github, htpasswd, osiam loginsrv is a standalone minimalistic login se
railsのクッキーとセッションについてまとめ - おもしろwebサービス開発日記
こないだ、よくわからんので今度調べると書いたところについて。 CSRFの対応について、rails使いが知っておくべきこと - おもしろWEBサービス開発日記 まずクッキーとセッションの違いから。自分の認識はこんな感じ クッキーもセッションも、ブラウザにデータを保存させる仕組み。 クッキーはデータをそのままブラウザに保存させる。 セッションはセッションIDをブラウザに保存させ、データはサーバ側が保持する。サーバはセッションIDをキーにしてデータを取り出す。 railsでクッキーを設定するには railsでは、クッキーは基本的に使わないと思ってますが、一応使い方をメモ。 cookies[:hoge] = { :value => "value", :expires => "30.days.from_now", :path => "/store", :domain => "www.example.
クッキーのSecureフラグはリバースプロキシに立てさせたい - Qiita
HTTPクッキーで秘密情報、例えばログインセッションIDなどを扱う場合はSecureフラグを立てるのが定石です（例え秘密情報を扱わないとしても立てるのが定石と考えるべきかもしれません。セキュリティテストでは機械的に問題点として検出されてしまいますから）。 Secureフラグとは「HTTPS通信時にしか送り返さないでください」というブラウザへの指示。 などと、Set-Cookieヘッダにsecureと追記することで実現します。こうしておけば、平文通信に秘密情報が流れてパケットキャプチャで盗聴されてしまうという心配がなくなります。 開発時にはsecureフラグが邪魔だったり というわけでまともなユーザアカウント管理のあるWebシステムならsecureフラグは当然付けなければいけないのですが、問題は開発中です。 開発マシンのローカルにサーバを立てて動かしているときなど、HTTPSアクセスってこと
シングル・サインオンの構成
7 シングル・サインオンの構成 アクセス・システムのシングル・サインオン機能により、ユーザーは1回のログインで複数の保護されたURLまたはアプリケーションにアクセスできます。この章を読む前に、第4章「ポリシー・ドメインによるリソースの保護」に記載されている用語や概念をよく理解するようにしてください。 この章の内容は次のとおりです。 前提条件 シングル・サインオンの概要 シングル・サインオンのCookie シングル・ドメインのシングル・サインオン マルチドメインのシングル・サインオン アプリケーションのシングル・サインオン アイデンティティ・システムとアクセス・システム間のシングル・サインオン アクセス・システムでの偽装の有効化 シングル・サインオンのトラブルシューティング 7.1 前提条件 シングル・サインオンを構成するには、その前提条件として、アイデンティティ・システムとアクセス・システ
Rails で CSRF トークン検証エラーが出ることがある
自分で作った Rails 製ウェブアプリで出会った話ですが、ちょっと原因に悩んだので書いておきます。 概要 Rails 製のウェブアプリのログを眺めていると、しばしば CSRF トークン検証エラーが記録されていました。ログインページでログインする際にデータを POST したときに、 CSRF トークン検証エラーが出たようです。 状況的に、外部から攻撃を受けているわけではなく、ユーザーもブラウザからアクセスしたようでした。 結局のところ、バグなどではなく、期待される挙動だったのですが、ちょっと悩んだので書いておきます。 再現手順 ブラウザ起動後の初回アクセスで、ウェブアプリのページを複数同時に開くと発生します。 「複数同時」というのがポイントです。 具体的には、以下の手順で発生します。 準備として Rails 製ウェブアプリで POST を使う複数のページを、二つブックマークに登録しておきま
Webサービスの運営に必須！RubyでCookieを扱う方法【初心者向け】
Webサービスの運営に必須！RubyでCookieを扱う方法【初心者向け】 初心者向けにRubyでCookieを扱う方法について詳しく解説しています。Webサービスを運営していく中で必要になってくる知識なので、今のうちに覚えておくと良いでしょう。実際の書き方を紹介しているので、ぜひご覧ください。 テックアカデミーマガジンは受講者数No.1のプログラミングスクール「テックアカデミー」が運営。初心者向けにプロが解説した記事を公開中。現役エンジニアの方はこちらをご覧ください。 ※ アンケートモニター提供元：GMOリサーチ株式会社 調査期間：2021年8月12日～8月16日 調査対象：2020年8月以降にプログラミングスクールを受講した18～80歳の男女1,000名 調査手法：インターネット調査 RubyでCookieを扱う方法について解説しています。Webサイトを運営していく中でユーザーのデ
Rails4アプリに対してクロスドメインでAjaxでCookieを送信したい場合 - Qiita
長い前置き 最近はWebアプリケーションを開発するときにサーバ側とクライアント側のプロジェクトを分けて開発することが多い。その理由としては、最終的にはクライアント側のリソースをサーバリソースと一緒にしてデプロイするのだけど、最近はYeomanなどクライアント側の開発プロセスも複雑になってきたので分けたいためである。 サーバはRails、クライアントはYeomanを使ってJavaScriptで開発している。 ログイン認証はRails側でFacebookのOAuthを使用し、セッション情報の保持はCookieを使用している。 Railsはポート3000、クライアントはgrunt serveを使ってポート9000で実行しているのだが、JavaScriptからRailsのREST APIにリクエストを投げたときにOriginが違うのでRailsで作成したCookieが付与されないので、Rails側
Railsを本番稼働させるときはnginxとsession storeの設定に注意 - Qiita
それぞれ上限値を越えてしまったために、出たエラーです。 回避する設定は以下。 ※追記（2014/04/15 21:00） そもそもnginxでheaderがデカイって怒られている原因はcookieに一杯値が入っていただけで、その原因はsessionに値をたくさん突っ込むようなことをしていたからなので、そもそもその時点で問題があります。 今回は一度nginxのエラーを解消しなければcookieの問題も気が付かなかったのですが、session storeをcookie以外にした時点でnginxのproxy bufferの設定は不要かなと思いました。 ということで、nginxの設定については蛇足ですね。 nginxのproxy bufferの設定 参考 参考URLの用にnginx.confのhttp{}の中に以下の設定を追加するだけで直りました。 デフォルトのproxy bufferのサイズを超
How to Make a Game Like Candy Crush with SpriteKit and Swift: Part 1
Update note: This SpriteKit tutorial has been updated for Xcode 9.3 and Swift 4.1 by Kevin Colligan. The original tutorial was written by Matthijs Hollemans and subsequently updated by Morten Faarkrog. In this three-part “How to” tutorial with SpriteKit and Swift series, you’ll learn how to make a game like Candy Crush Saga named Cookie Crunch Adventure. Yum, that sounds even better than candy! (Y
深刻になってきたwebビュー問題 - インターネット広告について考えてみた
自社サイトの流入経路が2年前と大きく変わってきました。 以前は検索流入が大半を占ていたが、facebookのようなソーシャルメディア、Smartnews、Antennaといったキュレーションメディア、naverまとめやヤフーさんなどからの外部リンク=参照流入と呼ばれる種別の流入が増えてきている現状があります。 消費者とのコンタクトポイントが拡大していることは喜ばしいこと、と好意的に捉えています。 実際、コンテンツを展開するのであれば、自社に来てもらうのを待つのではなく、 積極的に外海に出て行って、接点を構築していくことが必要な時代になったのだと思っています。 SEOだけでコンテンツのtrafficは成り立たなくなってきていることは、周知の事実だと思います。（SEOを疎かにしていいわけではなく両輪必要っていう話ですが） ただ、一方でそういった流入は、あくまでも各社のアプリの中でのアプリ内vi
「本当の基礎からのWebアプリケーション入門――Webサーバを作ってみよう」いちおう完結しました。 - K.Maebashi's はてなブログ
正月休み明けの話を今頃はてなダイアリーに書くのも何ですが、開始時にここで紹介しましたので終了についても書きます。 本当の基礎からのWebアプリケーション入門――Webサーバを作ってみよう http://kmaebashi.com/programmer/webserver/index.html 1年半ほどかかりましたが、一応完結いたしました。1年半のうち1年ほどは放置状態でしたけれども。 上記のリンクを見ていただければわかるように、この記事は、以下のような構成になっています。 TCPサーバ/クライアントを作る Webサーバを作る 落ち穂拾い(その1) 落ち穂拾い(その2) POSTメソッド へなちょこサーブレットコンテナもどき「Henacat」を作る Cookieに対応する セッションに対応する 最初は簡易的なWebサーバを作っていますが、最終的にはへなちょこなサーブレットコンテナHenac
Ethnaでモバイル セッション - 覇王色を求めて
前回の記事の続きです。 前回の設定でとりあえずは問題なさそうだったのだが、今日チェックしているとDoCoMoで問題が起きた。 DoCoMoでだけ、セッションが引き継がれない。 URLにセッションIDが引き継がれてないのかな？と思ったが、正常に引き継がれている。 少し悩んである事を思い出した。 Ethnaでセッション使うと記録される内容にIPアドレスが含まれてたな〜。 って事で、Ethna_Sessionを調べてみた。 Ethna_Sessionはリクエスト毎に、自動的に呼び出されて、CookieやURLにセッションIDがあれば自動でセッションを開始（Ethna_Session::restore）してくれる。 restoreの中身を見ていると以下の部分が気になった。 <?php // check session if ($this->isValid() == false) { setcook
Cookieを使わずにユーザーを追跡する仕組みが普及しつつある | スラド IT
Canvas機能を使った文字やグラフィックス描画の際の挙動の違いでWebブラウザの違いを識別する「Canvas Fingerprinting」という技術が開発され、すでにトップ10万のサイト中5.5%がこれを使ったユーザー追跡を利用しているという。 また、ユーザがCookieをこまめに削除しても、サイト側が同じデータをFlashのローカル共有オブジェクト（LSO、Flash Cookie）などに保存しておいて回復させれば、実質的にCookieを不滅化することができる。このEvercookieを実現する手段の一つである「Respawning by Flash cookie」sは、人気上位200サイトのうち10サイトで検出されたそうだ。 Cookieを無効にしていても、適切な対処をしない限り、閲覧者の行動はかなりの割合で漏洩している可能性があるようだ。 Canvas Fingerprintin
コーディング標準 - 概要 - FuelPHP ドキュメント
コード書式や文書の標準は Fuel に貢献するひとはすべて従う必要があります。 このガイドラインを読んでいない貢献はすべて受け入れられません。 ファイル書式 PHP タグの閉じ方 PHP のコードだけしか含まないファイルは常に PHP の閉じタグ (?>) を省略します。 これは見つけにくい「死の白い画面」を避けるためです。 インデント すべてのインデントはスペースではなくタブを使用すべきです。 しかし、インデントをした後はタブではなくスペースを使用して整形します。 // 2 つのタブでインデント $var = 'something'; // タブと整形された値とコメントでインデント $variable = 'else'; // スペースを使用して上下をインデント 行の末尾 行の末尾は Unix 形式の LF にします。 ファイル名 すべてのファイル名は、すべて小文字にしなければなりません
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CSRF対策用トークンの値にセッションIDそのものを使ってもいい時代なんて、そもそも無かった
