Переменные сеансов в golang не сохраняются при использовании сессий горилл

Ответ 1

Сначала: вы никогда не должны использовать md5 для хэш-паролей. Прочитайте эту статью о том, почему, а затем используйте Go пакет bcrypt, Вы также должны параметризовать ваши SQL-запросы, иначе вы открыты для катастрофических атак SQL-инъекций.

В любом случае: есть несколько проблем, которые вам необходимо решить здесь:

• Ваши сеансы не являются "прилипающими", так как вы устанавливаете Path как /loginSession - поэтому, когда пользователь посещает любой другой путь (т.е. /), сеанс недействителен для этой области.

Вы должны настроить хранилище сеансов при инициализации программы и установить там параметры:

var store = sessions.NewCookieStore([]byte("something-very-secret"))

func init() {

   store.Options = &sessions.Options{
    Domain:   "localhost",
    Path:     "/",
    MaxAge:   3600 * 8, // 8 hours
    HttpOnly: true,
}

Причина, по которой вы можете установить более конкретный путь, заключается в том, что если вошедшие в систему пользователи всегда находятся на суб-маршруте, например /accounts. В вашем случае это не то, что происходит.

Я должен добавить, что вкладка Chrome "Ресурс" в веб-инспекторе (Ресурсы > Куки) невероятно полезна для отладки таких проблем, как вы можете видеть истечение срока действия cookie, путь и другие настройки.

• Вы также проверяете session.Values["email"] == nil, который не работает. Пустая строка в Go просто "", и поскольку session.Values является map[string]interface{}, вам нужно type assert значение для строка:

то есть.

if val, ok := session.Values["email"].(string); ok {
      // if val is a string
      switch val {
             case "":
                 http.Redirect(res, req, "html/login.html", http.StatusFound)
             default:
                 http.Redirect(res, req, "html/home.html", http.StatusFound)
      }
    } else {
        // if val is not a string type
        http.Redirect(res, req, "html/login.html", http.StatusFound)
    }

Мы имеем дело с "не строковым" случаем, поэтому мы явно говорим о том, что программа должна делать, если сеанс не так, как мы ожидали (клиент изменил его, или более старая версия нашей программы использовала другой тип).

• Вы не проверяете ошибки при сохранении сеансов.

  sessionNew.Save(req, res)
  

... должно быть:

    err := sessionNew.Save(req, res)
    if err != nil {
            // handle the error case
    }

• Вы должны получить/проверить сеанс в SessionHandler перед, показывая статические файлы (вы делаете это очень обходным путем):

  func SessionHandler(res http.ResponseWriter, req *http.Request) {
      session, err := store.Get(req, "loginSession")
      if err != nil {
          // Handle the error
      }
  
      if session.Values["email"] == nil {
          http.Redirect(res, req, "html/login.html", http.StatusFound)
      } else {
         http.Redirect(res, req, "html/home.html", http.StatusFound)
      }
      // This shouldn't be here - router isn't scoped in this function! You should set this in your main() and wrap it with a function that checks for a valid session.
      router.PathPrefix("/").Handler(http.FileServer(http.Dir("../static/")))
  }
  

Ответ 2

Проблема заключается в том, что вы пишете ответ до вызова session.Save. Это предотвращает запись заголовков и, таким образом, ваш файл cookie отправляется клиенту.

В коде после session.Query вы вызываете Fprintf в ответ, как только этот код выполняется, вызов sessionNew.Save по существу ничего не делает. Удалите любой код, который записывается в ответ, и повторите попытку.

Я думаю, что сеанс инструментария gorilla должен возвращать ошибку при вызове "Сохранить", если ответ уже написан.

Ответ 3

Следуя цепочке комментариев, попробуйте удалить ограничение Domain из параметров сеанса или заменить его полным доменным именем, которое разрешает (например, с помощью /etc/hosts).

Это, кажется, ошибка в Chromium, где файлы cookie с явным доменом "localhost" не отправляются. Проблема, похоже, не представлена ​​в Firefox.

Мне удалось запустить демоверсию с помощью

store.Options = &sessions.Options{
    // Domain: "localhost",
    MaxAge:   3600 * 1, // 1 hour
    HttpOnly: true,
}

Ответ 4

Используйте серверную часть "FilesystemStore" вместо "CookieStore" , чтобы сохранить переменные сеанса. Другой альтернативой было бы обновление сеанса как контекстной переменной для запроса, то есть сохранение сеанса в контексте и разрешение браузера передавать его в каждом запросе, используя context.Set() из пакета gorilla/context.

Использование "CookieStore" тяжело для клиента, потому что по мере того, как объем информации, хранящейся в cookie, растет, больше информации передается по проводу для каждого запроса и ответа. Преимущество, которое он выполняет, заключается в том, что нет необходимости хранить информацию о сеансе на стороне сервера. Если это не является ограничением для хранения информации о сеансе на сервере, идеальным способом должно быть сохранение информации, связанной с регистрацией и аутентификацией, в хранилище сеансов "не-cookie" на стороне сервера и просто передача маркера клиенту. Сервер будет поддерживать карту данных токена и сеанса. "FilesystemStore" позволяет это сделать.

Хотя и "FilesystemStore" , и "CookieStore" реализуют интерфейс "Store", каждая из реализаций функций "Сохранить()" немного отличается. Исходный код для обеих функций CookieStore.Save() и FilesystemStore.Save() поможет нам понять, почему "CookieStore" не может сохранять информацию о сеансе. Метод FileystemStore Save(), кроме записи информации сеанса в заголовок ответа, также сохраняет информацию в файле сеанса на стороне сервера. В реализации "CookieStore" , если браузер не может отправить новый модифицированный файл cookie из ответа на следующий запрос, запрос может выйти из строя. В реализации "FileystemStore" токен, предоставляемый браузеру, остается неизменным. Информация о сеансе обновляется в файле и выбирается на основе запрашивающего токена, когда это требуется.