Eu estou desenvolvendo um site onde o lado cliente acessa inicialmente http até fazer o login. O login é feito do próprio http com uma requisição ajax que chama o script php em https e neste script é criada uma $_SESSION com os dados do usuário. Retornando ok do script login.php, a função javascript redireciona a página para o https onde a sessão fora criada, porém, o script index.php não encontra a sessão criada. Fiz vários testes e só consigo sucesso se a $_SESSION for criada numa requisição direta do https e não por ajax. Configurei o CORS no servidor e está funcionando perfeitamente. o javascript do http está assim:
$.post("https://www.dominio.com/login.php", $(form).serialize(), function (data) {
if ((data.code === PSYS.CONST.STT_OK) && (data.data.https_admin)) {
window.location = data.data.https_admin;
}; // else mensagem de erro
}, 'json');
O script login.php faz basicamente o seguinte:
// ler o dados do usuário no banco de dados e armazena no array result
$result = getDataFromUser($user, $password);
if ($result[code]) {
$_SESSION['Login'] = $result['data'];
}
return json_encode($result);
Então o java script redireciona o site para o https://www.dominio.com/index.php que faz o seguinte:
if (!session_id()):
session_start();
endif;
if (!isset($_SESSION['Login'])):
// se a sessão não existir
header("location: http://www.domini.com/index.php");
endif;
Se em em vez de fazer a requisição ajax para o servidor e a action do form for diretamente para o https no submit ele cria a sessão normalmente, mas isto gera um efeito que que não quero no site, até mesmo porque é um site de tecnologia, e, comportamentos padronizados serão amplamente utilizados no site principal (http), e é muito importante que ele respeite o que está em http e o que está em https. Não existe nenhuma requisição a banco de dados em http, todo acesso ao banco de dados é feito no https. Obrigado.