清漆配置仅缓存未登录用户

Question

nikc.org

Asked: 2022-03-18 14:14:20 +0800 CST2022-03-18 14:14:20 +0800 CST 2022-03-18 14:14:20 +0800 CST

更新 Varnish ESI 的请求 cookie，包括来自初始 `beresp` 的请求

我有一个以 Varnish 服务器为前端的应用程序。部分页面使用 ESI 包含呈现。

我的问题是上游响应包含一个加密的会话 cookie，其中包含一个 CSRF 令牌（根本没有服务器端会话存储）。

对于初始请求（请求中没有 cookie），ESI 请求将不包含由上游服务器的第一个响应设置的 cookie。

我已经尝试req.http.Cookie在vcl_deliver钩子中设置，因为它是请求流中我发现两者都可以读写的唯一req位置res。但是，使用 varnishlog 查看请求会发现 ESI 请求不受影响并且不包含 cookie。

我已尽我所能浏览文档，但找不到任何远程有用的东西。

是否有可能实现我想要的，即更新req以使 ESI 请求包含初始上游响应返回的 cookie？

Thijs Feryn · Answer 1 · 2022-03-19T02:23:48+08:00

我们需要明确区分包含标头的请求和包含Cookie标头的响应Set-Cookie。

假设 CSRF 令牌是通过父响应的标头设置的，您可能希望通过ESI 子请求中的请求标头Set-Cookie访问该值。Cookie

该req_top.http.Cookie变量可以访问父请求的 cookie，但在解析 ESI 占位符的位置req_top无法访问。vcl_backend_response

您可以使用以下 VCL 片段绕过此限制：

sub vcl_recv {
    if (req.esi_level > 0 ) {
        set req.http.X-Parent-Cookie = req_top.http.Cookie;
    }
}

这将启用在throughX-Parent-Cookie中可用的标头。vcl_backend_responsebereq.http.X-Parent-Cookie

假设它req_top.http.Cookie还不包含 CSRF 令牌的值是现实的，因为在处理 ESI 子请求时，Cookie客户端尚未设置标头。

我能想到的唯一解决方案是将父Set-Cookie值存储在变量中。Varnish 本身不支持变量，需要安装官方的https://github.com/varnish/varnish-modules。

您必须从源代码编译它。