Rails 7.1 SSO认证后永久Cookie重定向失效问题排查

1. Rails 7.1 严格的Cookie默认属性限制 #

Rails 7.1 默认对Cookie启用了更严格的安全配置，比如SameSite: Lax，如果你的SSO流程是跨域的，浏览器会拒绝携带该Cookie返回你的应用。另外生产环境默认开启secure: true，如果测试环境用HTTP协议，浏览器也会忽略这个Cookie。

解决办法：设置Cookie时显式指定兼容的属性：

def authenticate_user
  return if Current.user
  
  cookies.permanent[:return_to] = {
    value: request.url,
    same_site: :none, # 跨域场景必须设为none
    secure: Rails.env.production?, # 生产环境强制HTTPS，测试环境可关闭
    path: '/', # 确保整个应用路径都能读取该Cookie
    httponly: true # 后端读取无需前端访问，保持安全
  }
  redirect_to root_path
end

2. 读取Cookie的方式错误 #

cookies.permanent[:return_to]是设置时的语法，读取时不需要加permanent，直接用cookies[:return_to]即可：

session[:user_id] = user.id
redirect_to cookies[:return_to] || home_path

3. Cookie作用域不匹配 #

检查设置Cookie时的域名、路径是否和SSO跳转回来的请求一致。如果跳转后的请求路径不在Cookie的path范围内，浏览器不会发送这个Cookie。确保设置时指定path: '/'，覆盖整个应用路径。

4. 第三方Cookie被浏览器拦截 #

如果SSO是跨域名的，现代浏览器默认会阻止第三方Cookie，导致你的return_to Cookie无法被携带回来。这种情况下建议改用URL参数传递目标地址（注意要做安全校验，仅允许跳转至本域名内的地址）：

# 跳转SSO时传递参数
def authenticate_user
  return if Current.user
  redirect_to sso_login_url(return_to: request.url)
end

# 认证完成后跳转
session[:user_id] = user.id
# 校验return_to是否为本域名地址，防止跳转钓鱼网站
return_to = if params[:return_to].present? && URI.parse(params[:return_to]).host == request.host
              params[:return_to]
            else
              home_path
            end
redirect_to return_to

5. 验证Cookie是否实际存在 #

打开浏览器开发者工具的Application -> Cookies面板，确认return_to Cookie是否存在，以及它的domain、path、secure、sameSite属性是否符合预期。如果Cookie不存在，检查Current.user的判断逻辑是否有误，导致authenticate_user方法没有执行。

内容的提问来源于stack exchange，提问作者Sig