ヘッダー情報を持たせたPHPのcurlが上手く動きません。

Question

前提・実現したいこと

PHPで、curlを利用して自身のAPIに問い合わせをし、ユーザー情報を取得したいです。
APIの処理中で、$_SESSIONによる認証をもたせています。
ちなみに、現在試しているページはログイン直後のページです。

発生している問題

ブラウザが真っ白な読み込み状態になり、ずっと終わりません。
5分ほど待機してみても読み込み状態が続きました。
クライアント側のネットワークシグナルもなく、サーバー上で何かが行われたままビジーになっているような感じです。

該当のソースコード

foreach ($_COOKIE as $key => $val) {
  $cookie[] = $key.'='.$val.';';
}

echo $cookie[0]; //確認用

$curl = curl_init();

curl_setopt_array($curl, array(
  CURLOPT_URL => 'https://XXXXX/api/users',
  CURLOPT_HTTPHEADER => array(
    'Cookie: ' . $cookie[0] //テスト段階では確実に1つなので、[0]としています。
  )
));

$response = curl_exec($curl);

curl_close($curl);
echo $response;

試したこと

CURLOPT_HTTPHEADERの部分について、

下記のように直書きで、他ユーザーのPHPSESSIDを入れてみたところ、PHPでも正しくレスポンスを受け取れ、読み込みがずっと続くことなく、正常にデータが表示されました。

  CURLOPT_HTTPHEADER => array(
　　　'Cookie: PHPSESSID=XXXXXXXXXXXXXXXXXXXXXXXXXX'
  ),

自身のPHPSESSIDが入った時に、異常が現れるように思います。

一度ログインしてから開発ツールでPHPSESSIDを確認し、そのPHPSESSIDを上記コードのように直書きで書いたものに更新してみて、ページをリロードしてみました。
結果、やはりブラウザが真っ白な読み込み状態になり、ずっと終わりませんでした。
直書きで、わざとPHPSESSIDを間違った値にしてみると、ちゃんとエラーレスポンスが返ってきました。
PHPSESSIDが正しい場合に、異常が発生するようです。

ちなみにpostmanでヘッダー情報を持たせて試したところ、正常にレスポンスを受け取れました。

なにかお分かりになることがありましたら、ご教示いただければと思います。

Comments

[justicebot]

挙動を確認したところ、恐らくですがcurl自体に問題はなく、その後の認証に問題がある可能性もあることに気づきました。
このサイトではSAML認証を利用しています。
API処理の過程で、SAML認証のSessionが失われ、再度ログインすることができず画面が真っ白になったかもしれません。
今回の質問の範囲だけでは収まっていない範囲で問題が起きている可能性があるので、クローズする予定です。

Answer 1

'Cookie: ' + $cookie[0] //テスト段階では確実に1つなので、[0]としています。

↓

'Cookie: '.$cookie[0] //テスト段階では確実に1つなので、[0]としています。

で動きそうな気がします。
API側で、受信しているHTTPリクエストヘッダを確認しながら検証するのが確実ですね。

Comments

[justicebot]

ご指摘ありがとうございます。
こちらは、単なる記載ミスでございました。
実際には、ご指摘いただいた通りの記述でございます。
書き直させていただきました。
ご助言いただきありがとうございます！検証・確認してみようと思います。

[tanat]

ありゃ、そうですか。
API側で情報を確認しつつ、（これもAPI側で）セッションIDを直書きしてみてデバッグしてみて切り分けると良いかと思います。

Answer 2

今回の質問の範囲だけでは収まっていない範囲で問題が起きている可能性があるので、クローズいたします。

Comments

[tanat]

後からこの質問を見た人に対して一切情報を持たないので回答になっているので、
解決してからその方法を書くか、
せめて
- どういった方法で検証を行い
- なぜ「今回の質問の範囲だけでは収まっていない範囲で問題が起きている可能性がある」と判断したのか
くらいは追記して頂きたいところです。

[justicebot]

失礼しました。
トピックのルールを理解していませんでした。
再びオープンにいたしました。
curlの飛び先であるAPIは、phpなのですが
その中にあるsession_start();を消すと、うまくいくことがわかりました。
ただ、APIの中で$_SESSIONの値を認証に使いたいので、session_start();がなぜ使えないのか検証しています。
そもそもAPIの中で$_SESSIONを使うということが間違っているような気もしております。

[tanat]

SAML認証だと、認証の仕組み的にPHPからAPIを単純に叩く形だと動かないと思います。
JavaScriptでブラウザからアクセスさせるか、PHPからであればAPIにはインターネットからはアクセス出来ないようにした上で、サーバ間は独自の認証で任意ユーザー情報を参照できるようにする等のアーキテクチャの再考が必要かと。