Ionic 3 中的 Cookie 未使用 withCredentials 在设备上发送：true

Question

我正在尝试使用 Ionic 3/Angular 4.3 为现有的 Web 应用程序构建移动客户端。

我们将 cookie 用于会话和 CSRF 保护。我已经实现了以下HttpInterceptor，以便通过 HTTP 请求附加和发送令牌 cookie：

import { Injectable } from '@angular/core';
import { HttpEvent, HttpInterceptor, HttpHandler, HttpRequest } from '@angular/common/http';
import { Observable } from "rxjs";
import { CookieService } from 'ngx-cookie';
import 'rxjs/add/operator/map';

@Injectable()
export class AuthInterceptor implements HttpInterceptor {

  constructor(private cookies: CookieService) {}

  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
    var authReq = this.cookies.get('XSRF-TOKEN') ? request.clone({
      withCredentials: true,
      headers: request.headers.set('X-XSRF-TOKEN', this.cookies.get('XSRF-TOKEN'))
    }) : request.clone({ withCredentials: true });
    return next.handle(authReq);
  }
}

只要我使用 ionic serve address=localhost 运行（绕过 CORS 需要地址标志），从浏览器进行的测试就可以正常工作。

但是，在使用 ionic cordova run android 从 Android 设备进行测试时，似乎不会发送或保留 cookie。

正如您从上面看到的，我已将withCredentials 设置为true，正如大多数类似帖子的答案所暗示的那样。

Answer 1

Cookie 不是在移动设备上处理身份验证的好方法。有多个 cookie 存储（webview 有一个，有一个本地的，我认为甚至一些 HTTP 模块也有一个），因此它们必须同步才能可靠地工作。 Android 有自己的 CookieSyncManager 作为实用程序（较新的 webviews 显然可以自己使用它）。此外，当您的设备处于低内存状态时，cookie 会在前排被操作系统清除。因此，您的 cookie 会不时丢失，您的用户会因为必须重新登录而感到不安。

那么你应该怎么做呢？您应该实现基于令牌的身份验证系统。使用 native-storage 或一些 sql-lite 存储来存储令牌。