PHP会话丢失：子域和https（SSL到非SSL）

Question

我想我在“stackoverflow”上阅读并尝试了关于“会话，跨域和ssl”的所有相关主题。不幸的是没有用。

我的情况下：

loginForm.html（非SSL） - > authUser.php（SSL） - > showAccount.php（非SSL）

的问题是，即这些文件放置在不同的子域中，并通过SSL或非SSL服务。

loginForm.html - >http://dev.domain.com
authUser.php - >https://ssl.domain.com
showAccount.php - >http://dev.domain.com

如果用户凭据是正确的，authUser.php应该创建使用该会话通过showAccount.php。

如前所述，我尝试了所有发布的解决方案。 供参考，我们来看看这个：Session lost when switching from HTTP to HTTPS in PHP。
我也试着扩展这个片段，如PHP Sessions across sub domains中所提到的session_set_cookie_params，但这不起作用。
我也试过ini_set('session.cookie_domain', '.domain.com');

编辑：正如在回答要求，这里是使用的代码（最初被张贴雅各这里：Session lost when switching from HTTP to HTTPS in PHP）

https://ssl.domain.com/user/authUser.php

<?php 

// auth with database was successful, so create the session 

session_set_cookie_params(0, '/', '.domain.com'); 
session_start(); 

$currentSessionID = session_id(); 
$_SESSION['testvariable'] = 'It worked'; 
$InsecureServerDomain = 'dev.domain.com'; 
$pagePath = '/showAccount.php'; 

echo '<a href="http://' . $InsecureServerDomain . $pagePath . '?session=' . $currentSessionID . '">Transfer Cookie from secure to insecure </a>'; 

?> 

http://dev.domain.com/showAccount.php

<?php 

$currentSessionID = filter_input(GET, "session"); 
session_set_cookie_params(0, '/', '.domain.com'); 

session_id($currentSessionID); 

session_start(); 

if (!empty($_SESSION['testvariable'])) { 
     echo $_SESSION['testvariable']; 
} else { 
     echo 'It did not work.'; 
} 

?> 

$_SESSION总是空的。

有什么提示吗？

Answer 1

一如既往，看到一些代码会有所帮助。也许您存储会话的部分以及您如何使用Cookie /数据库。这里是一个关于如何做cross-domain authorization真棒教程，给这个家伙一些更多upvotes！

Answer 2

保护只是您的登录/授权毫无意义。正在查看网络流量的攻击者可以窃取每次请求传递给服务器的登录cookie /会话令牌，然后以该用户身份登录。当然，密码将是安全的，但它实际上并不能保护用户的会话免受中间人攻击（例如在不安全的WiFi网络中）的劫持。

有关如何工作的示例，请参阅Firesheep。