Admin und Kundenlogin machen Probleme

[meydot]

Ich habe mehrere Kunden in meinem Adminaccount und konnte problemlos zwischen den Logins wechseln.

Als Admin ging ich in die Kundenliste, hab dort auf einen Account geklickt und dieser hat sich direkt im neuen Fenster geöffnet. Dort hab ich meine Anpassungen gemacht, bin zurück in den Admin Tab usw. Das geht seit dem vorletzten Update nicht mehr. Stattdessen lande ich in der Anmeldemaske. Gebe ich hier die Logindaten des Kunden manuell ein, lande ich wieder in der Anmeldemaske. 

Ein Einloggen mit einem anderen Account ist erst dann wieder möglich, wenn die Cookies manuell gelöscht wurden. Das hat die Arbeit als Admin ziemlich unkomfortabel gemacht, wenn man immer etwas für den Kunden anlegen oder ändern muss. Erst Cookies manuell löschen, dann Logindaten des Kunden rauskramen und einloggen. Muss dann wieder etwas als Admin gemacht werden, das gleiche Spiel von vorne.

Es spielt auch keine Rolle wo und auf welchem Browser ich arbeite. Vom Handy über iPad bis zum Mac, auf jedem Browser das gleiche. Irgendwas haut mit der PHPSession nicht hin. Es verhält sich beim Loginwechsel so, als gäbe es keine Schreibrechte auf var/lib/PHP/session

Auf dem Server läuft CentOS 8, Apache und PHP 8.2

[d00p]

Der einzige unterschied ist, dass der wechsel von admin auf kunden nicht mehr in einem neuen fenster stattfindet, du hast oben rechts einen link der dich zurück zu deinem admin-account bringt. Funktioniert wunderbar. Ich muss keine cookies löschen und nix. Das ist allerdings schon seit version 2.0 so, nicht erst jetzt...das ganze session handling wurde überarbeitet.

 

[meydot]

Seit Version 2 habe ich dieses Problem auch. Das ist schon eine Weile so und auf allen Servern, die ich habe.

[d00p]

Da gibts keine Probleme...klick auf den kunden -> du bist der kunde -> klick oben rechts auf "<- admin" (oder eben der loginname des admins/resellers) und du bist wieder zurück.

[meydot]

Das mag ja bei dir so sein. Bei mir aber nicht. Klick auf Kunde > Anmeldemaske

Und mit dieser kann ich mich erst wieder anmelden, wenn die Cookies gelöscht wurden.

[d00p]

Dann liefere doch bitte mal ein paar detailinfos zu deinem system. Wie rufst du froxlor auf? Wie ist php eingebunden? Logs? etc.etc.etc. - scheint ja bei dir dann irgendwas nich zu stimmen

[meydot]

Webserver
Apache/2.4.37 (CentOS Stream) OpenSSL/1.1.1k PHP/8.2.14
PHP-Version
8.2.14 CLI
MySQL-Server-Version
10.5.23-MariaDB
Webserver-Interface
APACHE2HANDLER
Kernel
4.18.0-529.el8.x86_64 (x86_64)

Froxlor läuft auf einer Subdomain

[d00p]

mal in eine der logs geschaut bei den user-switch versuchen ob was auftaucht? Irgendwas muss es ja sein, ich hab keine glaskugel, du musst schon infos liefern

[meydot]

access zeigt einen normalen GET Aufruf und Error-Log ist leer. Es gibt keine Fehlermeldungen

[d00p]

welche log dateien genau hast du geprüft?

[meydot]

apache log und messages

[d00p]

aha....vllt noch etwas ungenauer? Mit pfadangabe wäre hilfreich...es gibt viele logs

[meydot]

Dec 22 21:23:55 MD froxlor[8612]: froxlor.NOTICE: viewed admin_index {"source":"admin","action":"30","user":"admin"} []

Dec 22 21:24:39 MD froxlor[8734]: froxlor.NOTICE: viewed admin_customers {"source":"admin","action":"30","user":"admin"} []

Dec 22 21:24:39 MD froxlor[8734]: froxlor.NOTICE: [API] list customers {"source":"admin","action":"30","user":"admin"} []

[meydot]

Es gibt nur eine messages in /var/log und jedes Web hat sein eigenes Logfile

[d00p]

nur das der froxlor vhost selbst keine error log definiert - also landet es in der globalen error des webservers...aber ey, wenn du keine hilfe willst, sag das, ich hab genug anderes was ich tun kann.

[meydot]

Wenn ich schreibe, das jedes Web sein eigenes Log hat, dann meine ich das auch so.

<VirtualHost 176.9.101.187:443>

    DocumentRoot /srv/www/htdocs/froxlor

    SSLEngine on

    Options FollowSymLinks

    php_admin_flag safe_mode Off

    php_admin_flag file_uploads On

    php_admin_flag track_vars On

    php_admin_flag magic_quotes_runtime Off

    php_admin_flag magic_quotes_gpc Off

    php_admin_value upload_tmp_dir /srv/www/htdocs/froxlor/tmp

    php_admin_value open_basedir none

    php_admin_value default_charset none

    php_admin_value session.cookie_path /

    php_admin_value session.auto_start 0

    php_admin_value session.gc_maxlifetime 1800

    php_admin_value session.use_cookies 1

    php_admin_value session.cookie_lifetime 0

    php_admin_value session.cookie_secure Off

    php_admin_value session.use_trans_sid 0

    ScriptAlias /cgi-bin/ /srv/www/htdocs/froxlor/cgi-bin/

    <IfModule mod_dir.c>

    DirectoryIndex index.html index.htm index.shtml index.cgi index.php

    </IfModule>

    ErrorLog "/srv/customers/logs/froxlor-error.log"

    CustomLog "/srv/customers/logs/froxlor-access.log" combined

    Alias /phpmyadmin /srv/www/htdocs/phpMyAdmin

</VirtualHost>

[d00p]

1 minute ago, meydot said:

Wenn ich schreibe, das jedes Web sein eigenes Log hat, dann meine ich das auch so.

also erstellst du für froxlor selbst einen vhost? Keine "ServerName" Direktive? "SSLEngine" on und keine Certificates direktiven? Das kann ja nicht gehen...  Lass doch bitte einfach froxlor selbst seinen vhost erstellen und dann stimmt da auch alles

[meydot]

Ich habe den oberen Standardbereich nur entfernt, damit es nicht zu lang wird. Natürlich gibt es einen ServerName und Co, sonst ließe sich nichtmal der Apache starten.

Hier die komplette Direktive. Daran wurde seit Jahren nichts geändert und Froxlor lief bis 2.0 ohne Probleme. Nur jetzt haut irgendwas mit den Sessions nicht mehr hin.

<VirtualHost 176.9.101.187:443>

    ServerName froxlor.meydot.de

    ServerAdmin admin@progworx.de

    DocumentRoot /srv/www/htdocs/froxlor

    SSLEngine on

    SSLCertificateFile /etc/certbot/live/froxlor.meydot.de/cert.pem

    SSLCertificateKeyFile /etc/certbot/live/froxlor.meydot.de/privkey.pem

    SSLCaCertificateFile /etc/certbot/live/froxlor.meydot.de/chain.pem

    Options FollowSymLinks

    php_admin_flag safe_mode Off

    php_admin_flag file_uploads On

    php_admin_flag track_vars On

    php_admin_flag magic_quotes_runtime Off

    php_admin_flag magic_quotes_gpc Off

    php_admin_value upload_tmp_dir /srv/www/htdocs/froxlor/tmp

    php_admin_value open_basedir none

    php_admin_value default_charset none

    php_admin_value session.cookie_path /

    php_admin_value session.auto_start 0

    php_admin_value session.gc_maxlifetime 1800

    php_admin_value session.use_cookies 1

    php_admin_value session.cookie_lifetime 0

    php_admin_value session.cookie_secure Off

    php_admin_value session.use_trans_sid 0

    ScriptAlias /cgi-bin/ /srv/www/htdocs/froxlor/cgi-bin/

    <IfModule mod_dir.c>

    DirectoryIndex index.html index.htm index.shtml index.cgi index.php

    </IfModule>

    #CustomLog /var/log/httpd/access_log_ssl "%h %l %u %t \"%r\" %s %b \"%{Referer}i\" \"%{User-agent}i\""

    #ErrorLog /var/log/httpd/error_log_ssl

    ErrorLog "/srv/customers/logs/froxlor-error.log"

    CustomLog "/srv/customers/logs/froxlor-access.log" combined

    Alias /phpmyadmin /srv/www/htdocs/phpMyAdmin

</VirtualHost>

[d00p]

Dann nimm doch vllt mal z.B. `php_admin_value session.cookie_secure Off` aus dem vhost ...könnte ggfls ein problem sein. Vergleiche deine php-ini settings doch einfach mit der aktuellen "Froxlor Vhost Config" z.B. unter demo.froxlor.org (auch wenn dort php-fpm genutzt wird, die optionen heißen ja gleich) 

[meydot]

Genau das war auch das Problem. Ich hatte die Zeile eben schon entfernt und sofort lief es wieder wie früher. Ist vielleicht ein Problem der Remi Builds für CentOS. Ich muss nach jedem Update auch wieder Schreibrechte für /var/lib/PHP/sessions geben, da diese entfernt werden. Ohne diese verhält es sich nämlich ganz genau so. Man hat immer nur das Anmeldefenster. Daher war es für mich klar, das es irgendwo an den Sessions liegen musste. Vermutlich lagen das Update auf Froxlor 2.0 und der Remi Build zeitlich nebeneinander, sodass es auf den ersten Blick so aussah, als hätte sich am Froxlor in diesem Bereich etwas geändert.

[d00p]

froxlor hat mit /var/lib/php/sessions nichts zu tun - sorry. Vllt hilft es ja wenn du auf php-fpm wechselst - mod_php ist nicht wirklich sicher für eine shared hosting umgebung