إعادة توجيه لا نهائية لـ SSO في Safari

الدعم تسجيل الدخول الموحد
1

مع وجود عدة نسخ من Discourse مُفعّل فيها خيار تسجيل الدخول مطلوب وتستخدم SSO، نواجه إعادة توجيه لا نهائية عند تسجيل الدخول عبر Safari على iOS. إليك ما يحدث:

  1. المستخدم غير مسجل الدخول في Discourse أو في موقع SSO الرئيسي.
  2. ينتقل المستخدم إلى نسخة Discourse.
  3. يعيد Discourse توجيه المستخدم إلى صفحة SSO.
  4. تطلب صفحة SSO بيانات الاعتماد. يسجل المستخدم الدخول.
  5. يُعلق المستخدم في حلقة إعادة توجيه بين موقع SSO الرئيسي وDiscourse، حتى يتوقف Safari.
  6. إذا قام المستخدم بعد ذلك بالتنقل يدويًا إلى Discourse مرة أخرى، فإنه يكون مسجّل الدخول.

لا أستطيع تكرار هذا السلوك باستخدام Chrome على سطح المكتب.
أثناء وجود العميل في حلقة إعادة التوجيه، يتم إنشاء عدة سجلات لـ بدأت عملية SSO وتم تسجيل دخول المستخدم، مما يوحي بأن عملية SSO ناجحة، ولكن بطريقة ما، بعد إكمال SSO، يعيد Discourse توجيه المستخدم إلى صفحة تسجيل دخول SSO أخرى بدلاً من صفحة البداية.

هذا يؤثر أيضًا على النسخ القديمة حيث كانت SSO تعمل بشكل صحيح سابقًا، لذا لا أعتقد أن هذه مشكلة في إعدادات Discourse.

هل لدى أي شخص فكرة عما قد يكون الخطأ هنا؟

4 إعجابات
2

Any ideas on this @sam?

3

I have seen this on sites that have the setting same site cookies set to Strict, if it is already on Lax recommend attempting to disable and see if it works around the Safari bug.

6 إعجابات
4

Maybe the new Safari Tech Preview from today will fix it:

Fixed Same-Site Lax cookies to be sent with cross-site redirect from a client-initiated load (r241918)

7 إعجابات
5

You are :100:% correct. It was on Lax, the default. Changing it to Disabled fixed the issue immediately. (I assume this is a defense-in-depth thing, on top of your usual CSRF protections, so disabling it is not overly terrible for security?)

Let’s hope for the best!

Thank you for your help!

I rate you :star2::star2::star2::star2::star2::mage::mage: (five stars plus wizarding level two)!

7 إعجابات
6

:man_facepalming: I’ve spent a very long time figuring out a similar issue was caused by this samsite=lax behaviour:

This fixes my issue - at least on macOS Mojave - so I assume it fixes it on iOS too. Thanks!

I’d also like to know people’s opinions on this.

What with this being the Mozilla Discourse and all, we don’t have a huge amount of traffic from Safari, so don’t want to make ourselves vulnerable to CSRF attacks for something which will benefit a very small proportion of our users.

6 إعجابات