Forum GLPI-Project

ganflo

Member

Registered: 2022-10-11

Posts: 12

Configuration - sessions qui sautent pour les appels ajax

Salut,

J'utilise GLPI 10.0.9 (update prévu dans le mois) mais depuis la mise en place en février, des utilisateurs se plaignent d'avoir, de manière aléatoire le message d'erreur "l'action que vous avez réalisé n'est pas autorisé".
Il peut arriver sur un filtre, sur une action sur un ticket ou autre.

Dans les logs, les infos sont plutôt succinctes. Par exemple :

User ID: 1226 tried to access or perform an action on /front/ticket.form.php?id=828 with insufficient rights. Additional information: Aucune information supplémentaire fournie

J'ai essayé d'avoir des infos au début pour identifier si c'était pas une mauvaise configuration de profil mais ça n'a pas l'air d'être ça à cause du côté aléatoire.
Aussi, si un utilisateur a ce message, un simple rafraichissement suffit à remettre tout en ordre.

Note : le problème est constaté sur Chrome, Edge et Firefox.
D'un point de vue comportement, mes utilisateurs (mono profil / mono entité) ouvrent plusieurs onglets / fenêtres pour naviguer sur les tickets et les assets tout en conservant des refresh-auto.

Je me dis donc que c'est un problème de session / cookie et de gestion dans ma conf php / nginx mais là... je sèche.

Pour le php.ini (version 8.1), j'ai modifié les éléments suivants seulement :

...
max_execution_time = 600
...
memory_limit = 64M
...
date.timezone = UTC
...
session.cookie_secure = on
...
session.cookie_httponly = on
...
opcache.memory_consumption=256
...

Pour nginx (1.18) :

...
http {
    ...
    server_tokens off;
    ...
    ssl_protocols TLSv1.2 TLSv1.3;
}
...

Si la conf SSL pouvait impacter (j'en doute mais sait-on) :

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-CCM:DHE-RSA-AES256-CCM8:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-CCM:DHE-RSA-AES128-CCM8:DHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256;

ssl_prefer_server_ciphers on;

ssl_session_tickets off;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;

ssl_buffer_size 8k;

add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Strict-Transport-Security "max-age=15552001; includeSubdomains; preload";

Je peux en mettre plus au besoin et répondre à toutes les questions mais là, j'suis paumé.

Merci

Last edited by ganflo (2023-10-12 14:04:17)

lecortex

Member

Registered: 2021-01-14

Posts: 237

Re: Configuration - sessions qui sautent pour les appels ajax

Je constatait le même fonctionnement sur mon glpi en 10.0.9 lorsque je laissai un onglet ouvert trop longtemps, sur le 10.0.10 j'ai pas encore rencontré ce cas de figure.

Cordialement

---

-- Any exchange not written in French comes from an automatic translation. --

ganflo

Member

Registered: 2022-10-11

Posts: 12

Re: Configuration - sessions qui sautent pour les appels ajax

ok. En effet, je vois que la PR #15614 (j'suis pas autorisé à mettre des liens désolé) qui semble jouer avec la question des requêtes ajax. Même si le problème est pas directement adressé, ça "peut" gérer le soucis. Après ... je maitrise pas l'impact ni le scope donc c'est du croisement de doigts.

Après la bascule, je demanderai à mes utilisateurs de me tenir au courant (~2000 utilisateurs à travers le monde). Si tu le reconstates, peux tu le signaler ? ça me donnera des billes pour étudier le sujet.