2

Tengo una app de escritorio y una app web, estoy haciendo la app de escritorio con electron y uso JavaScript, estoy tratando de hacer que el usuario, si está logeado en la web lo esté también en la app de escritorio, para esto lo estoy haciendo una sesión de PHP, tengo un endpoint en mi web, he tratado haciendo una petición desde la app de escritorio hacia mi web, y a la vez el endpoint de mi web hace una petición a otro archivo que está alojado en mi web misma, este imprime la sesión

Tengo en mi endpoint

if (!empty($_GET["glg"])) {
    $url = 'https://miservidor.com/api3/sess.php';
    $data = array('glg' => 'true');
    $options = array(
        'http' => array(
            'header'  => "Content-type: application/x-www-form-urlencoded\r\n",
            'method'  => 'POST',
            'content' => http_build_query($data)
        )
    );
    $context  = stream_context_create($options);
    $result = file_get_contents($url, false, $context);
    if ($result === FALSE) {die("error");}
    if (json_decode($result, true)["username"]) {
        print json_decode($result, true)["username"];
    }
}

sess.php

session_start();
print json_encode($_SESSION);

A pesar de hacer esto, sigue sin obtener la sesión, me aseguré de que tenga username dentro de $_SESSION pero sigue sin dar resultado tanto haciendo un fetch desde mi aplicación de escritorio y tanto como entrando a la página

Si entro a sess.php imprime la sesión correctamente:

{"username":"a"}

Pero esto solo con el navegador, tengo entendido que no imprimirá la sesión si el origen es distinto a mi dominio

(Además habilité CORS desde mi API para cualquier origen)

7
  • ¿La app de escritorio es un ejecutable? Si no es un navegador no puede guardar cookies para establecer la sesión y deberás buscar otra alternativa.
    – Triby
    Commented el 14 ene. 2021 a las 19:34
  • Estoy usando electron, el cual Chromium y puede decirse que si es un navegador. Además, ya intenté tanto con npm start y ejecutando la página en el navegador y no funciona
    – Rodrigo
    Commented el 14 ene. 2021 a las 19:34
  • Vas a tener que manejar las sesiones desde la app, electron tiene opción para eso y validar los datos contra la API.
    – Triby
    Commented el 14 ene. 2021 a las 19:42
  • Hay poca información al respecto, pero tal vez esta guía (en inglés) te pueda servir.
    – Triby
    Commented el 14 ene. 2021 a las 19:51
  • Documentaré ambas fuentes, muchas gracias por la información @Triby
    – Rodrigo
    Commented el 14 ene. 2021 a las 19:54

2 respuestas 2

4

Hay maneras de forzar un flujo inicial tal que el usuario herede una "sesión" existente con la cual se le pueda dar no solamente por autenticado sino distinguirlo con todos sus datos y roles. Las APIs que respetan el principio de ser stateless no usan sesiones y sin embargo identifican al usuario ya en la fase de middleware (después del ruteo y antes de la lógica de negocio). La respuesta a "cuál es la buena práctica para identificar al usuario sin depender del estado?" sería usar JWT (Json Web Tokens, RFC7519).

Pero tú preguntaste cómo compartir sesión entre dos browsers y eso intentaré responder.


estoy haciendo la app de escritorio con electron y uso JavaScript, estoy tratando de hacer que el usuario, si está logeado en la web lo esté también en la app de escritorio

No hay manera de que el login en el browser se propague automáticamente a una app de otro browser (electron es otro browser) sin acción de por medio. Si distintos browsers pudieran acceder libremente al storage, los threads o los punteros de memoria de los demás sería una mina de oro para el malware

La Cookie de Sesión

Segundo, las sesiones, no sólo de PHP sino también, por ejemplo, la que usa el middleware express-session se persisten entre requests por medio de una cookie. En php esa cookie por defecto se llama PHPSESSID pero puede configurarse otro nombre si uno quiere.

Si en el servidor asocias datos a la sesión (como en tu ejemplo, fijando un username), éstos se perderán si el request siguiente envía una cookie distinta o no la envía. El servidor no tiene cómo adivinar que eres tú.

También se cumple que si visitas el sitio con dos browsers distintos te genera dos sesiones distintas (reflejadas en cookies distintos). La data que el servidor va asociando a cada sesión es invisible para la otra.

Prueba de concepto: compartir sesión manualmente

Pensemos por ejemplo en un script sess.php muy simple que llena la sesión con tuplas de la forma

   <timestamp del request> - <user-agent simplificado del request>

(user agent simplificado es sólo acortar el texto del UA para que se entienda). El contenido es:

<?php

session_start();
$user_agent_clean=trim(array_pop(explode(')', $_SERVER['HTTP_USER_AGENT']?? ')' )));
$visit_time_user_agent=sprintf('%d %s',time(), $user_agent_clean);
$_SESSION['first_request'] = $_SESSION['first_request'] ?? $visit_time_user_agent;
$_SESSION['previous_request']=$_SESSION['current_request']??null;
$_SESSION['current_request']=$visit_time_user_agent;


header('Content-Type: application/json');
echo json_encode([
    'first_request' => $_SESSION['first_request'],
    'current_request' => $_SESSION['current_request'],
    'previous_request' => $_SESSION['previous_request']
]);

O sea con la combinación de la hora+user-agent

  • Fijo el primer request si no existe, con los datos de esta visita
  • Lleno previous_request con current_request
  • Piso current_request con los datos de esta visita

Experimento 1: Visito el mismo sitio con dos browsers distintos

En la animación siguiente, Chrome y Firefox visitan el mismo sitio. Reciben sesiones distintas asociadas a dos cookies distintas. Miren la hora y el user agent

Cookies y sesiones distintas


Experimento 2: igualo el valor de la cookie de sesión

Si yo copio el valor de la cookie de firefox y la pongo en chrome, en mi siguiente visita el cambio de cookie efectivamente habrá dejado ambos browsers en la misma sesión (ambos tienen por ejemplo el mismo first_request 13:43:25 Gecko/20100101 Firefox/84.0).

Misma sesión

Visto así, pareciera que sólo tienes que loguearte en tu sitio con el browser, obtener el valor de PHPSESSID y luego enviar el mismo valor cuando hagas el mismo procedimiento con Electron. Como verás, esto no es trivial y menos todavía si usas fetch.


Enviar y obtener PHPSESSID

En ciertos escenarios es posible enviar explícitamente la cookie con que quieres presentarte al sitio. Por ejemplo, si copias un request como CURL

introducir la descripción de la imagen aquí

La petición tiene un header que envía explícitamente la cookie. Yo puedo modificar el user agent o lo que quiera:

curl 'https://exampleslocal.ffflabs.com/sess.php' \
 -H 'User-Agent: Soy un request CURL ' \
 -H 'Cookie: PHPSESSID=h32mo5s8su3lb08auoqbuh7i2q' 

Pero curl tiene un propósito y fetch tiene otro. Los riesgos y restricciones del segundo son mucho mayores.


Replicar el flujo con fetch

Los ejemplos anteriores no se pueden replicar de manera programática ejecutando un llamado fetch desde otro sitio. Pensemos que la petición tiene la forma:

 fetch(
    'https://miservidor.com/api3/sess.php', 
    {
      "mode": "cors"
    }
 })

Te encontrarás con problemas como

1.- la petición Cross Origin genera un error de CORS si el webserver no responde con un valor correcto en la cabecera Access-Control-Allow-Origin.

Access to fetch at ... has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

  1. El servidor responde con una cookie de sesión, pero el comportamiento por defecto del navegador es no guardarla tratándose de requests cross-origin

introducir la descripción de la imagen aquí

  1. Si la cookie de sesión se guarda correctamente (ya veremos cómo), las peticiones que sigan no la enviarán (y por tanto recibiran otra distinta cada vez) a menos que fetch se haya llamado especificando el setting credentials con valor include

Digamos que ahora voy a setear credentials: 'include'

 fetch(
    'https://miservidor.com/api3/sess.php', 
    {
      "mode": "cors",
      "credentials": "include"
    }
 })
  1. Aunque el servidor tenga configurado CORS para aceptar cualquier origen (Access-Control-Allow-Origin *), usar credentials: 'include' arrojará un error a menos que el valor de Access-Control-Allow-Origin liste específicamente el host

Access to fetch at ... has been blocked by CORS policy: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'

  1. Ese setting "credentials": "include" arrojará un error si acaso el webserver no devuelve un header Access-Control-Allow-Credentials con valor true.

  2. Hilando fino: Si el sitio o ventana inicial desde donde se gatilla la petición tiene definido un Content Security Policy o CSP, no se puede hacer fetch a urls que no estén en la lista blanca de la directiva connect-src. Si existe un CSP sin connect-src, el valor por defecto es el de la directiva default-src.

Refused to connect to 'https://exampleslocal.ffflabs.com/sess.php' because it violates the following Content Security Policy directive: "default-src 'self' ". Note that 'connect-src' was not explicitly set, so 'default-src' is used as a fallback.

Configuración para los puntos anteriores

Para los puntos 1, 4 y 5, las cabeceras para cors se fijan en el webserver. Por ejemplo, en NGINX, se usarían cabeceras como:

add_header 'Access-Control-Allow-Origin' "$http_origin" always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;

Dado que un request POST dará origen a un preflight de tipo OPTIONS, y ese preflight preguntará qué headers están permitidos, lo anterior debiera llevar además

    add_header 'Access-Control-Allow-Headers' 'Accept,Authorization,Cache-Control,Content-Type,DNT,If-Modified-Since,Keep-Alive,Origin,User-Agent,X-Requested-With,Cookie' always;
    if ($request_method = 'OPTIONS') {
        return  204;
    }

En rigor también se podría enviar esos headers directamente desde PHP, pero llevará tarde o temprano a comportamientos inconsistentes.

Para el punto 2, PHP permite definir las características de la cookie de sesión. Para este caso de uso los atributos que importan son secure y SameSite. Este último define si la cookie se envía sin importar el origen (SameSite='None'). El comportamiento por defecto en las versiones actuales de los navegadores dejó de ser 'None' durante el 2020 pasando a ser SameSite='Lax'.
Si explícitamente se desea permitir, como en este ejercicio, las cookies cross-domain, se debe usar 'None', y 'None' sólo funcionará en conjunto con 'secure'.

Al principio de nuestro script ponemos, entonces

 session_set_cookie_params(['SameSite'=>'None','Secure'=>true]);

Esto debe ponerse antes de llamar a session_start

Dato adicional: el atributo HttpOnly implica que el valor de la cookie no se podrá obtener tampoco mediante document.cookie ni siquiera estando en la página.

Teniendo esos puntos solucionados, el punto 3 sólo requiere enviar credentials: 'include'. Y con respecto al punto 6... el admin sabrá por qué ha restringido el fetch cross-domain. A lo mejor para que nadie intente leakear sesiones.


Restricciones Estructurales

Llegados a este punto sabemos que, si contamos de antemano con una sesión existente, un request fetch cross-origin con todo el conjunto configurado para ello, mantendrá la sesión. Pero claro, eso es en un mismo browser. La cookie existente no se puede comunicar de un browser a otro en forma programática.

Otro flujo posible: sabemos que la petición fetch queda asociada a una sesión cuyo identificador es estable. Si obtuviésemos ese PHPSESSID podríamos usarlo en otro lado, pero no hay cómo obtenerlo: el request deja una cookie en el navegador, pero fetch no recibe su valor

fetch(endpoint, {
      "mode": "cors",
      "credentials": "include"
}).then(res=> { 
  for(let entry of res.headers.entries()) {
    console.log(entry); // 'cache-control', 'content-type',etc pero no set-cookie
  }
});

En el flujo contrario, si sabemos el identificador de la cookie (por ejemplo la tomamos de Firefox), el hacer

 const headers=new Headers()
 headers.set('Cookie','PHPSESSID=h32mo5s8su3lb08auoqbuh7i2q')

 fetch(endpoint, { 
      headers: headers,
      mode: "cors",
      credentials: "include"
  })

No tiene efecto. En la práctica, la manipulación de cualquier header que pertenezca a la lista de headers prohibidos no se enviará en el request.

Pensemos qué pasaría si se pudiera manejar esto programáticamente: levanto un sitio malicioso. Apenas entra una visita podría enviar disimuladamente peticiones a todos los sitios donde pueda estar autenticado. No todos esos sitios tienen API pero yo guardo esas cookies y más tarde las copio y pego para visitar tales sitios manualmente.


Workarounds

Solamente como prueba de concepto, se me ocurre un workaround horrible.

  1. sess.php imprime el ID de la sesión en el body. Con eso puedes obviar la necesidad de sniffear la cookie
  2. sess.php permite fijar el ID de la sesión pasando un parámetro en el request. Esto no lo inventé yo: PHP permite configurar el uso de orígenes alternativos para el valor de PHPSESSID mediante el setting session.use_only_cookies de manera que a falta de cookies permita pasarlo por $_GET o $_POST. Es una mala idea porque facilita mucho el Session Hijacking, pero de poderse, se puede.

Incluso sin cambiar la configuración, bastaría poner, justo antes de session_start() algo tan burdo como

if ( !empty($_GET["PHPSESSID"]) ) {
    session_id($_GET["PHPSESSID"]);
}

El flujo entonces pasaría por obtener un PHPSESSID de la visita a sess.php via electron o browser. El primero te ofrece a continuación abrir un link en el browser para unir la sesión. El segundo te ofrece en cambio abrir la app electron usando xdg-open. En ambos casos el link con que te envía al otro browser contiene el PHPSESSID que quieres propagar.


*Palabras al cierre

Hay bastantes cosas que configurar, muchas de ellas son especificaciones en etapa de proposal, y una parte medular del flujo requiere hacer un endpoint tan inseguro que el remedio será peor que la enfermedad. Habilitas trucos para tu propósito pero también para el propósito de otros que pueden usar la combinación de tu sitio y aplicación para hacer malos usos.

Gran parte de esta respuesta pasa por alto un workaround no aplicable a los posibles usuarios finales, que sería correr el navegador en modo desarrollo habilitando un puerto para controlarlo remotamente, a través de lo cual podrías con electron gatillar la visita que fija la cookie en el browser. Lo paso por alto porque el potencial usuario final no correrá el debugger de chrome.

Tampoco estoy considerando la posibilidad de usar DNSMasq o un proxy local para interceptar los requests porque -si bien es posible- el hecho que tu sitio web requiera https lo complica todo y tendrías que mandar a tus usuarios a modificar los DNS de sistema.

Finalmente, si la solución que encontraste es considerar logueado a un usuario cuando exista una IP coincidente... entonces creo que se me pasó la mano con la respuesta.

1
  • Muchas gracias por la respuesta, @ffflabs, tu respuesta me fue muy útil, hacer una base de datos con coincidencias de IP gasta más recursos de los necesarios en el servidor y esta forma es la más eficiente
    – Rodrigo
    Commented el 16 ene. 2021 a las 21:57
0

Lo logré creando una base de datos en mi app web

Cada vez que se loguee un usuario se comprobará si existe el usuario en la base de datos logged_users y si existe, se reemplazará la IP anterior por la actual del usuario, podremos obtener la IP del usuario con

$_SERVER["REMOTE_ADDR"]

Esta se guardará en la base de datos y con la IP podremos reconocer si el usuario está en la base de datos y si su IP coincide con la de los registros

$ip = $_SERVER["REMOTE_ADDR"];
$q = mysqli_query($db, "SELECT * FROM log_ip WHERE ip='$ip'");
if (mysqli_num_rows($q) == 1) {
    // print "logged";
}

Si el usuario no existe en la base de datos logged_users se insertará

$ip = $_SERVER["REMOTE_ADDR"];
mysqli_query($db, "INSERT INTO log_ip(ip, username) VALUES(".'"'.htmlentities($_POST["user"]).'", "'.$ip.'")');
// print "logged";

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.