Une 2FA qui renvoyait les gens à la connexion
A host-only CSRF cookie wasn't sent across subdomains, so completing the OTP step redirected back to login. Fixed with an explicit cookie domain.
Ça ne pouvait pas marcher
Une course, un ordre, une colonne pour deux choses. La forme l'excluait avant même l'exécution.
Juste après avoir déplacé l'authentification super-admin vers des variables d'environnement avec une 2FA e-mail adossée à Redis, terminer l'étape OTP te ramenait à la connexion. Le cookie CSRF était limité à l'hôte et la seconde étape de l'échange est servie depuis un autre sous-domaine, donc le jeton n'était tout simplement pas visible pour la requête qui en avait besoin.
Corrigé en définissant explicitement le domaine du cookie sur les sous-domaines, délibérément pas appliqué au cookie de rafraîchissement, qui reste limité à l'hôte. Élargir la portée d'un cookie pour déboguer un flux est très facile à sur-appliquer à chaque cookie du fichier.