Fehlerhafter XSRF-Token

Hallo,

vor einigen Tagen hat sich bereits ein Kunde der WoltLab Cloud in den Tickets gemeldet, bei das Problem ebenfalls im Safari (sowohl am Apple-Rechner als auch auf mobilen Apple-Geräten) auftritt. In der WoltLab Cloud können wir eine Fehlkonfiguration des Servers ausschließen und auch bei Ursula kann ich bestätigen, dass zumindest die HTTPS-Umleitung korrekt aktiv ist. Offenbar liegt hier ein Problem bzw. eine Inkompatibilität speziell mit Safari vor.

Ich zitiere mich mal selbst aus der Diagnose im WoltLab Cloud-Ticket:

Quote

vielen Dank für die Informationen. Ich konnte die entsprechenden Anfragen in den Protokollen identifizieren und die Ergebnisse sind aufschlussreich: Sie haben innerhalb der zwei Minuten von 10:02:32 bis 10:04:18 Anfragen mit 4 unterschiedlichen XSRF-Tokens gesendet, darunter zwei unterschiedliche in der selben Sekunde (diese haben dann zu der Fehlermeldung geführt). Üblich ist, dass das Token solange stabil bleibt, solange der Webbrowser geöffnet bleibt bzw. die „Browsersitzung“ aktiv ist.

Ursula Hast du Zugriff auf „Zugriffsprotokolle“ (Access Logs) für deinen Webspace? Dann wäre folgendes hilfreich, um zu prüfen, ob die Symptome die gleichen sind:

• Wenn der Fehler das nächste Mal auftritt, dann:
  • Notiere dir eine möglichst präzise Uhrzeit.
  • Notiere dir deine IP-Adresse.
• Prüfe anschließend die Zugriffsprotokolle rund um den notierten Zeitpunkt (Zeitpunkt bis wenige Minuten davor) für deine IP-Adresse.
• Von besonderem Interesse sind Anfragen mit einem t=-Wert in der angefragten Seite. Dieser t=-Wert sollte eine lange zufällige Zeichenkette sein, die immer die selbe ist. Beispielsweise: t=97e1d80c5d17fd17ebe0e2fe40793c43e179aa9580956711b22f1e26e39a8fe8-0qEFU7TMf3EgRd6B4oDOEg==
  
  • Wenn das Format nicht übereinstimmt, dann ist das ein Problem. Es gibt auch spezielle Platzhalter-Werte wie COOKIE_NOT_FOUND.
  • Wenn innerhalb weniger Minuten mehrere unterschiedliche Werte sichtbar sind, dann ist das ein Problem. Das war bei unserem WoltLab Cloud-Kunden der Fall.

Hallo,

Quote from Black Rider

Ebenso habe ich Safari in der Zeit mal neu gestartet.

Damit läuft die „Sitzung“ ab und das Sitzungs-Cookie wird vermutlich entfernt.

Quote from Black Rider

Sollte er dann aber nicht beim Laden der Seite einfach einen neuen Token für die neue Sitzung bekommen? ← Damit kann ich es nämlich immer reproduzieren.

Ja, ein neues XSRF-Token-Cookie wird vom Server immer dann ausgehändigt, wenn eine Seite vom Framework geladen wird und kein gültiges Cookie gesendet wird. Lädt der Safari die Seiten denn nach dem Neustart komplett neu oder zeigt er erst einmal „illegal“ eine gecachte Version an? Illegal deshalb, weil Caching durch den Server eigentlich unterdrückt wird.

Quote from Black Rider

<snip-long-token> ist wiederum ein ganz eigener.

Diese Request ist aber irrelevant, weil das der Proxy für die Sourcemap ist und komplett autark vom Rest der Software arbeitet. Die hat nichts mit Sessions zu tun.

Hallo,

Quote from Black Rider

Möglich, da ich den Cache-Control-Header überschrieben habe (als Teil des Plugins Power-Einstellungen).

Okay, das erklärt dann den COOKIE_NOT_FOUND-Fall, den du siehst. Im Falle unseres Kunden in der WoltLab Cloud ist das Plugin aber nicht installiert und auch das Symptom ein anderes (COOKIE_NOT_FOUND taucht nicht auf).

Hallo,

Quote from Ursula

und den Vorgang in den Files auch gefunden:

das ist leider nicht das richtige. Es ist kein einziger t=-Wert zu finden.

Hallo,

in deinem Fall liegt es daran, dass du das Artikelsystem nutzt und dort ein „reguläres Formular“ zum Einsatz kommt – neue Antworten in Themen werden „auf der selben Seite eingefügt“ und damit über AJAX übertragen.

Bei einem regulären Formular wird das XSRF-Token nicht in der Adressleiste übertragen, sondern im sogenannten „Body“ und ist damit in den Zugriffsprotokollen nicht sichtbar [1]. Das ist aus Sicherheitsgründen grundsätzlich gut und so gewollt, in diesem Fall macht es die Fehlerdiagnose aber deutlich schwieriger.

[1] Ab WoltLab Suite 6.0 wird auch für AJAX-Anfragen das XSRF-Token Stück für Stück aus der Adresse entfernt.