[tweakblogs/bug] Inloggen en blijven op tweakblogs.net

[ajakkes]

Ik heb een nogal vreemd probleem met tweakblogs.net, als ik probeer in te loggen krijg ik bij het correct invoeren van mijn gebruikersnaam en wachtwoord:
Je bent nu ingelogd met je Tweakers.net account; klik hier om de pagina te verversen

Als ik vervolgens de pagina ververs ben ik weer uitgelogd. Het lijkt erop dat het tweakblogs niet lukt om de cookie met het TnetID aan te maken.

Ik kan dit probleem verhelpen door cookies van derden te accepteren of een uitzondering te maken voor tweakblogs.net.

Als het TnetID cookie eenmaal bestaat blijf ik wel ingelogd zonder cookies van derden te accepteren.

Het lijkt te komen doordat de logincheck wordt uitgevoerd door http://tweakers.net/ext/logincheck.dsp

[crisp]

Tweakblogs heeft geen eigen sessies maar maakt gebruik van je Tnet sessie. Via de login - wat feitelijk een iframe is - log je in op tweakers.net en vervolgens wordt dat sessie-id ook weggeschreven in een cookie op tweakblogs.net.

Het klopt dus inderdaad dat de sessie-cookie die gezet wordt op tweakers.net doordat het zich binnen een iframe afspeelt gezien wordt als 3rd party cookie. Als je die niet accepteert dan zal het inloggen op zich wel lukken, maar ingelogged blijven logischerwijs niet. Als alternatief kan je dan inderdaad beter op tweakers.net zelf inloggen, of een uitzondering maken.

Dit is by design en dus geen bug; dat bepaalde veiligheidsinstellingen binnen browsers kunnen zorgen voor verminderde functionaliteit is gewoon een gegeven.

[ajakkes]

Op tweakers.net ben ik natuurlijk gewoon ingelogd.

Het is voor mij ook een nieuw probleem. Het zou kunnen dat het is ontstaan sinds Firefox 4 is uitgekomen en ik deze ben gaan gebruiken.

Ik heb altijd al "cookies van derden blokkeren" aanstaan. Omdat ik zelden uitlog en dus langdurige sessies heb zou het kunnen zijn dat het probleem eerder of later is ontstaan. Het doet zich namelijk alleen voor bij het voor het eerst inloggen bij tweakblogs.net. Nu ik de cookies in mijn bezig heb heb ik nergens meer last van.

[crisp]

Ik zie nu dat bij het uitschakelen van accepteren van 3rd party cookies ook niet eens de Tnet-cookie wordt doorgestuurd bij het opvragen van ext/logincheck.dsp in de iframe waardoor die check dus ueberhaupt faalt. Ik zal eens kijken of dat inderdaad gewijzigde behaviour is van firefox en hoe andere browsers daarmee omgaan.

Geen cookies van 3rd parties accepteren is nog 1, maar ook geen al aanwezige cookies meer doorsturen bij geframede content strookt niet met die setting en lijkt me dus feitelijk een bug.

gerelateerde bugzilla melding: https://bugzilla.mozilla.org/show_bug.cgi?id=417800

[ Voor 7% gewijzigd door crisp op 11-04-2011 13:22 ]

[ajakkes]

Hoewel het volgens jou een bug lijkt heb ik het idee dat ze het bij mozilla als een feature zien.

Ik snap ook niet helemaal het nut van de huidige methode.
Als ik ingelogd ben bij tweakers.net moet ik nog steeds inloggen bij tweakblogs.net en als ik uitgelogd ben bij tweakers.net blijf ik ingelogd bij tweakblogs.net.

Ik begrijp dat je op tweakblogs.net dezelfde gebruikersnaam en wachtwoord wil aanbieden als op tweakers.net maar hier zijn toch andere methoden voor?

[NMe]

ajakkes schreef op maandag 11 april 2011 @ 16:39:
Ik begrijp dat je op tweakblogs.net dezelfde gebruikersnaam en wachtwoord wil aanbieden als op tweakers.net maar hier zijn toch andere methoden voor?

Niet zonder op elk domein apart te moeten inloggen.

[crisp]

ajakkes schreef op maandag 11 april 2011 @ 16:39:
Hoewel het volgens jou een bug lijkt heb ik het idee dat ze het bij mozilla als een feature zien.

Ik snap ook niet helemaal het nut van de huidige methode.
Als ik ingelogd ben bij tweakers.net moet ik nog steeds inloggen bij tweakblogs.net

Dat is dus normaliter (lees: als je 3rd part cookies aan hebt staan) dus niet het geval: je bent/wordt dan ook autmoagisch ingelogged op tweakblogs.

en als ik uitgelogd ben bij tweakers.net blijf ik ingelogd bij tweakblogs.net.

Ook dat is niet het geval; een sessie die niet meer op tweakers.net bestaat kan ook niet meer via de tweakblogs gebruikt worden.

Ik begrijp dat je op tweakblogs.net dezelfde gebruikersnaam en wachtwoord wil aanbieden als op tweakers.net maar hier zijn toch andere methoden voor?

Het gaat niet om het kunnen inloggen met dezelfde gebruikersnaam/wachtwoord maar juist om het autmatisch ingelogged kunnen zijn op tweakblogs.

[ajakkes]

Maar dat moet ik nu ook al?
Of werkt het in andere browsers wel?

Ik heb me volgens mij namelijk altijd al opnieuw moeten inloggen bij tweakblogs, of was het vroeger alleen een knopje "Log in met tweakers account"? Ik twijfel.

Ik heb zojuist getest of ik nog ingelogd was bij tweakblogs.net na het beëindigen van de huidige sessie op tweakers.net. Dit leek wel het geval. Ik heb echter niet alle sessie beëindigd, alleen degene van mijn huidige browser. Zolang de tweakblogs.net cookie met TnetID bestaat ben ik ingelogd op tweakblogs.net.

Opnieuw inloggen op tweakblogs.net vind ik niet zo'n probleem, het aanmaken van een gebruikersnaam en wachtwoord voor iedere site is veel vervelender dan het opnieuw intikken van de gebruikersnaam en wachtwoord op een nieuw domein.
Het maken van een uitzondering voor tweakblogs.net is op zich wel een oplossing.

Het lijkt erop dat de tweakers.net iFrame de tweakblogs cookie niet mag plaatsen.
Maar het is toch ook mogelijk om de informatie van de tweakers.net sessie op de server over te gooien naar de tweakblogs server? Dit hoeft toch niet te gebeuren in de browser. Want ik begrijp dat dat nu gebeurd.

[DennusB]

In Chrome werkt het in ieder geval zonder problemen

[crisp]

ajakkes schreef op maandag 11 april 2011 @ 17:10:
Maar dat moet ik nu ook al?
Of werkt het in andere browsers wel?

Ik heb me volgens mij namelijk altijd al opnieuw moeten inloggen bij tweakblogs, of was het vroeger alleen een knopje "Log in met tweakers account"? Ik twijfel.

Dat werkt in alle browsers vziw; ook in Firefox vermits je 'accept 3rd-party cookies' aan hebt staan of een uitzondering hebt ingesteld voor tweakblogs.net/tweakers.net.

Ik heb zojuist getest of ik nog ingelogd was bij tweakblogs.net na het beëindigen van de huidige sessie op tweakers.net. Dit leek wel het geval. Ik heb echter niet alle sessie beëindigd, alleen degene van mijn huidige browser. Zolang de tweakblogs.net cookie met TnetID bestaat ben ik ingelogd op tweakblogs.net.

Zolang het sessie-id in de cookie op tweakblogs.net verwijst naar een nog bestaande sessie klopt dat ja. Je kan dus op die manier wel verschillende sessies aanhouden. Het systeem is er echter zo op ingericht dat het probeert om je bestaande tnet-sessie 'over te hevelen' naar tweakblogs.net

Opnieuw inloggen op tweakblogs.net vind ik niet zo'n probleem, het aanmaken van een gebruikersnaam en wachtwoord voor iedere site is veel vervelender dan het opnieuw intikken van de gebruikersnaam en wachtwoord op een nieuw domein.

Wij vonden (en vinden) die extra drempel wel bezwaarlijk, zeker als er een werkende methode is waarbij gebruikers niet extra hoeven in te loggen.

Het maken van een uitzondering voor tweakblogs.net is op zich wel een oplossing.

Let wel: in feite is het uitschakelen van 3rd-party cookies de uitzondering (maar wel een valide keuze natuurlijk) - het is immers een afwijkende instelling tov de standaard (wat Firefox aangaat). Wat ik al eerder opmerkte komt letterlijk ook terug in de bugreport op bugzilla:

quote: https://bugzilla.mozilla.org/show_bug.cgi?id=417800#c21

If there are sites or add-ons that plainly require third-party cookies to be accepted, and users deny third-party cookies, I'm not quite sure what they would *expect* to happen other than that third-party functionality breaking.

Desalniettemin bestempel ik de bewoording van de setting ten opzichte van wat het daadwerkelijk doet (en anders doet dan andere browsers; namelijk ook het versturen van cookies blokkeren) nog steeds als een bug.

Het lijkt erop dat de tweakers.net iFrame de tweakblogs cookie niet mag plaatsen.

Een pagina op tweakers.net *kan* ook geen cookie plaatsen op tweakblogs.net. Wat ext/logincheck.dsp doet is kijken of je een geldige tweakers.net sessie hebt, en redirect vervolgens weer terug naar tweakblogs.net met een speciaal token waarmee de pagina op tweakblogs.net onder water het sessie-id kan ophalen en als cookie zetten op tweakblogs.net.

Dit werkt niet omdat de '3rd-part cookie' setting in Firefox al geen sessie-cookie meestuurt naar ext/logincheck.dsp ook al bestaat die cookie wel, dus lijkt het altijd alsof je niet bent ingelogged op tweakers.net ook al ben je dat wel.

Maar het is toch ook mogelijk om de informatie van de tweakers.net sessie op de server over te gooien naar de tweakblogs server? Dit hoeft toch niet te gebeuren in de browser. Want ik begrijp dat dat nu gebeurd.

Zie de uitleg hierboven; dit moet dus wel in de browser gebeuren. Overigens draait tweakers.net fysiek op precies dezelfde servers

Er zijn wellicht wel alternatieven. We zouden kunnen kijken naar full-page redirects, maar dat vind ik zelf niet erg wenselijk. We zouden misschien ook een volledig javascript-based oplossing kunnen gebruiken (misschien cross-domain XHR oid), of we zouden kunnen kijken of we op een of andere manier kunnen controleren of cookies niet geaccepteerd worden en daar een melding van kunnen geven.

m.i. is de laatste optie op dit moment de snelste en eenvoudigste.