Les sessions Django sont supprimées lorsqu'elles sont redirigées à partir d'un autre domaine

Question

Lorsqu'un utilisateur visite mon domaine, un ID de session est émis par django. Quand il essaie de faire Oauth avec Facebook, il clique sur un bouton de mon site qui redirige vers Facebook.com. Facebook redirige vers mon domaine, mais à ce stade, la session de l'utilisateur est perdue et Django semble émettre une nouvelle variable de session.

Je souhaite que la session supprimée persiste car je dois associer le visiteur à mon site avec son compte Facebook, mais lorsque la session est abandonnée, l'utilisateur connecté est déconnecté.

Je soupçonne que ce comportement peut être lié à la protection XSS de Django. Comment puis-je conserver les informations de l'utilisateur lorsque l'utilisateur quitte notre site pour se connecter à Facebook?

Answer 1

Vous souhaiterez peut-être confirmer que les cookies ont le même domaine lors de leur création. Cela peut parfois causer des problèmes. Si vous allez sur le site www.example.com et les rappels OAuth sur example.com, il est possible que vous ayez deux cookies séparés, un pour www.example.com et un pour exemple.com

Activer "Toujours demander" sur votre navigateur et faites attention aux détails des cookies. Assurez-vous que la valeur du champ "Host:" est identique deux fois.

Le correctif entre quelque chose comme .example.com pour SESSION_COOKIE_DOMAIN dans votre fichier settings.py.

Answer 2

Je viens également de découvrir que si deux applications Django s'exécutent sur le même domaine, pour éviter la collision de cookies, vous pouvez définir SESSION_COOKIE_NAME différemment pour chacune d'elles.