启用Cloudflare后主域名与子域名间SSO登录失效求助

针对你描述的Cloudflare启用后主站（www.domain.com，ExpressionEngine）登录正常但子站论坛（forums.domain.com，vBulletin）SSO失效的问题，结合场景（顶级域Cookie+数据库会话同步、已绕过缓存、未使用Cloudflare Access），以下是最可能的原因及对应的排查/解决步骤：

1. Cloudflare自动修改Cookie的SameSite属性 #

Cloudflare默认会为未指定SameSite属性的Cookie添加SameSite=Lax，部分场景下甚至会强制设为Strict。如果你的SSO依赖主站设置的顶级域（.domain.com）Cookie在论坛子域的跨域请求中被传递（比如论坛页面加载时主动读取主站Cookie验证会话），SameSite=Strict会导致浏览器在跨子域跳转时不携带该Cookie，进而论坛无法识别已登录状态。

排查步骤：

• 打开浏览器开发者工具（F12），切换到「Application」标签，查看.domain.com下的登录Cookie的SameSite属性；
• 对比直接访问源站（暂停Cloudflare时）的Cookie属性，确认是否被Cloudflare修改。

解决方法：

• 在Cloudflare控制台进入「SSL/TLS」>「Edge Certificates」，找到「Cookie Security」选项，关闭「Automatic SameSite Cookie Attribute」；
• 或在ExpressionEngine的SSO插件中手动为登录Cookie设置SameSite=Lax（适合跨子域场景的最优值），同时确保Domain=.domain.com、Path=/、Secure（如果使用HTTPS）属性正确。

2. Cloudflare Bot管理规则误拦截SSO同步请求 #

你的SSO逻辑可能包含主站登录后自动向论坛发送的会话同步请求（比如后台API调用或静默跳转），这类无用户交互的请求容易被Cloudflare的Bot Fight Mode、Super Bot Fight Mode或WAF规则判定为可疑流量拦截，导致论坛未接收到同步信号（即使数据库会话已生成）。

排查步骤：

• 进入Cloudflare控制台「Security」>「Events」，筛选登录时间段内forums.domain.com的请求，查看是否有被拦截的记录（Action列为「Block」或「Challenge」）；
• 检查被拦截请求的URI是否为论坛SSO的回调路径（比如/forum/sso_callback.php）。

解决方法：

• 将SSO同步请求的路径或主站的源IP添加到「Security」>「WAF」>「Rules」的允许规则中；
• 降低Bot Fight Mode的敏感度（比如从「High」改为「Medium」），或在「Bot Management」中添加自定义规则允许该类请求。

3. Cloudflare的HTTP头/内容转换干扰SSO逻辑 #

Cloudflare的部分优化功能（如Automatic HTTPS Rewrites、Scrape Shield、Rocket Loader）可能会修改页面内容或HTTP头，导致SSO依赖的前端JS逻辑或后端参数失效：

• Scrape Shield：如果SSO插件的页面包含特定标识（如会话ID参数），可能被Server-side Excludes或Email Obfuscation修改；
• Rocket Loader：延迟加载JS可能导致论坛页面无法及时读取主站Cookie完成验证。

排查步骤：

• 暂时关闭Cloudflare控制台「Speed」>「Optimization」下的Rocket Loader，以及「Scrape Shield」下的所有选项，测试SSO是否恢复；
• 对比直接访问源站和通过Cloudflare访问的论坛页面源码，查看是否有内容被篡改。

解决方法：

• 若关闭某功能后恢复正常，针对该功能添加例外规则（比如为SSO相关路径关闭Rocket Loader）；
• 在「Scrape Shield」>「Server-side Excludes」中排除SSO相关的页面或参数。

4. 顶级域Cookie的Secure属性强制设置 #

如果你的网站通过Cloudflare启用了HTTPS，Cloudflare可能会强制为未设置Secure属性的Cookie添加该属性。若你的论坛仍存在HTTP访问路径（即使主站是HTTPS），浏览器会拒绝在HTTP请求中携带Secure Cookie，导致论坛无法读取登录状态。

排查步骤：

• 检查论坛是否存在HTTP访问的情况（比如未强制HTTPS跳转）；
• 查看.domain.com下的Cookie是否被添加了Secure属性。

解决方法：

• 在Cloudflare控制台「SSL/TLS」>「Edge Certificates」中开启「Always Use HTTPS」，确保所有子域都强制HTTPS；
• 或在SSO插件中手动设置Cookie的Secure属性为true（仅当全站HTTPS时适用）。

内容的提问来源于stack exchange，提问作者Chad Crowell