通过API令牌创建会话设置了过期的Cookie

Question

我正在尝试create a session via an API token 。

请求已发送[[成功]，我在响应中得到3个cookie，但是它们的有效日期与发送请求的时间相同，这会使它们立即失效。

例如，如果请求在

2020年4月20日，00：24：29]成功发送，则为响应：

Set-Cookie: persistent=XXXX; path=/; expires=Thu, 19-Mar-2020 00:24:30 GMT; secure; HttpOnly
Set-Cookie: onelogin.com_user=XXX; domain=.onelogin.com; path=/; expires=Mon, 20-Apr-2020 00:24:30 GMT; secure; HttpOnly
Set-Cookie: sub_session_onelogin.com=XXXXXXX; path=/; secure; HttpOnly

创建用于在Onelogin上使用它的会话的
第二cookie

已过期。

有什么地方做错了吗？任何帮助将不胜感激。

我正在使用HTTPS。

] >>我正在尝试通过API令牌创建会话。请求已成功发送，我在响应中得到3个cookie，但是它们的到期日期与发送请求的时间相同，...

Answer 1

获取会话令牌（注意，不是cookie）的初始API请求是从应用程序到OneLogin API的后端调用，因此在用户浏览器中不可见，但是您可以看到该API调用返回了JWT令牌到客户应用的超时时间为2分钟。您可以导航至https://jwt.io/，然后单击调试器进行验证。右侧将有一个到期区域，您可以将鼠标悬停在该区域上以查看到期。总会有2分钟的超时时间。]

然后，您的应用程序有责任指导用户的浏览器将HTTP有效负载中的令牌发送到“ / session_via_api_token”处的OneLogin，以便向浏览器提供会话cookie。通过查看POST行的“ session_via_api_token”的“ HTTP”选项卡，可以在浏览器中使用SAML跟踪器扩展来捕获要验证的SAML跟踪。注意：设置了3个cookie，其中2个是永久性的，并且立即设置为过期-因此它们没有任何作用。因此，请不要强调那两个Cookie过期的事实，因为它不相关。关键cookie是“ subsession_onelogin.com”，它是一个会话cookie，因此没有过期时间。它用于跟踪会话超时。