凭据：“包括”不包括 Cookie 标头

Question

我在客户端上使用credentials: 'include' 和mode: 'cors'。在服务器上，我看到 access-control-allow-credentials: true 和 access-control-allow-origin: https://dev.com:9443 标头。虽然我没有看到我的 cookie 标头，但我似乎无法找到它没有发送的原因。让我知道是否可以提供更多详细信息。

获取请求

fetch(url, {
  method: 'get',
  credentials: 'include',
  mode: 'cors',
  headers: {
    'Content-Type': 'application/json'
  }
});

选项请求标头

:authority: prod.fakedomain.com
:method: OPTIONS
:path: /Search
:scheme: https
accept: */*
accept-encoding: gzip, deflate, br
accept-language: en-US,en;q=0.9,fr;q=0.8,la;q=0.7
access-control-request-headers: content-type
access-control-request-method: GET
cache-control: no-cache
dnt: 1
origin: https://dev.com:9443
pragma: no-cache
referer: https://dev.com:9443/
user-agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.98 Safari/537.36

选项响应标头

access-control-allow-credentials: true
access-control-allow-headers: content-type
access-control-allow-methods: GET,HEAD,POST
access-control-allow-origin: https://dev.com:9443
access-control-max-age: 1800
allow: GET, HEAD, POST, PUT, DELETE, TRACE, OPTIONS, PATCH
content-length: 0
date: Mon, 04 Feb 2019 03:45:06 GMT
status: 200
vary: Origin
x-application-context: application:8080

获取请求标头

:authority: prod.fakedomain.com
:method: GET
:path: /Search
:scheme: https
accept: */*
accept-encoding: gzip, deflate, br
accept-language: en-US,en;q=0.9,fr;q=0.8,la;q=0.7
cache-control: no-cache
content-type: application/json
dnt: 1
origin: https://dev.com:9443
pragma: no-cache
referer: https://dev.com:9443/
user-agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.98 Safari/537.36

获取响应标头

access-control-allow-credentials: true
access-control-allow-origin: https://dev.com:9443
content-encoding: gzip
content-type: application/json;charset=UTF-8
date: Mon, 04 Feb 2019 03:45:07 GMT
status: 200
vary: Origin,Accept-Encoding
x-application-context: application:8080

Answer 1

正如sideshowbarker 在他的评论中提到的那样，浏览器没有为域prod.fakedomain.com 设置 cookie，看起来服务器也没有设置 cookie。因此，如果您为dev.com 设置了cookie，并且它们不是httpOnly，那么您可以尝试将它们复制到prod.fakedomain.com（通过JS 读写）。

如果您想在 cookie 中存储敏感数据（例如 JWT 令牌），请阅读有关 XSS/XST 攻击的信息并考虑使用 HttpOnly 标志的可能性。

Answer 2

我可以通过进入我的 Safari 隐私设置并取消选中 Prevent cross-site tracking 来解决此问题

Answer 3

我终于发现问题只是浏览器不允许两个不同的域共享任何cookie（相同的二级域除外），它超出了credentials: include可以做的事情，经过2个小时的尝试......我发现@987654322 @ 只是意味着你可以发送 cookie，但这并不意味着你可以发送具有两个不同域的 cookie..

不管你做什么，改变浏览器设置、设置cookie的SameSite任何方式，就是不能这样做......

这就是我的结论，希望你明白...