我正在构建一个带有 api 平台的 api 和一个带有 react 的前端（使用 apiplatform 的 react 模板）。我配置了身份验证并使用包含 jwt 的 httponly cookie 返回客户端。但是当我的前端发出请求时，它并没有发送这个cookie......我绝对不知道为什么，我认为它是由浏览器自动完成的，直到它在同一个域上。
这是我的客户端的网络历史示例：
我的应用在 https://localhost:3000/ 上运行
您在这些请求中发现有什么问题吗？或者有没有人知道它可能来自什么？ 我的应用和 api 正在使用 https 并拥有有效的证书...
如果您需要任何其他信息，请随时询问，谢谢大家！！！
【问题讨论】：
标签： cookies api-platform.com httponly
好的，我找到了解决方案： 向身份验证请求添加凭据，如果未添加标头，则浏览器不会存储 cookie。 第二点：
const fetchHydra = (url, options = {}) =>
baseFetchHydra(url, {
...options,
credentials: 'include',
});
credentials: 'include' 不在标题选项中...很好！
【讨论】：
我无法在评论中回答，因为有代码... 所以，它由 api-platform (https://api-platform.com/docs/admin/) 的 react admin base 管理，但我的配置是这样的：
const fetchHeaders = {
credentials: 'include',
};
const fetchHydra = (url, options = {}) =>
baseFetchHydra(url, {
...options,
headers: new Headers(fetchHeaders),
});
const apiDocumentationParser = (entrypoint) =>
parseHydraDocumentation(entrypoint, { headers: new Headers(fetchHeaders) }).then(
({ api }) => ({ api }),
(result) => {
...
},
);
const dataProvider = baseHydraDataProvider(entrypoint, fetchHydra, apiDocumentationParser, true);
所以，所有对数据的获取、发布等请求都是基于这个配置
但我的第一次身份验证调用是这样完成的：
login: ({ username, password }) => {
const request = new Request(`${entrypoint}/authentication_token`, {
method: 'POST',
body: JSON.stringify({ username, password }),
headers: new Headers({ 'Content-Type': 'application/json' }),
});
return fetch(request).then((response) => {
if (response.status < 200 || response.status >= 300) {
localStorage.removeItem('isAuthenticated');
throw new Error(response.statusText);
}
localStorage.setItem('isAuthenticated', 'true');
});
},
【讨论】：
xhr = new XMLHttpRequest(); xhr.withCredentials = true; xhr.open('GET', 'http://localhost:8443'); xhr.send();。如果失败了，我不知道。
credentials: 'includes' 和 mode: 'cors' 使请求失败，如果我发送凭据，allow_origin 不应该是 *... 但这是一个****** 地狱......
【讨论】：
好吧，我不知道...当我试图解决我的问题时，我什么也没找到。 我使用 cookie httponly 是因为：
非常感谢您的好回答 rugolinifr ！
【讨论】：
Cookie 会忽略端口，但跨源策略不会。
您使用两个 URL（http://localhost:8443 和 http://localhost:3000）。因此，您的应用正在生成 cross origin request，因为端口不同。
xhr 需要将其 withCredentials 属性设置为 true 以发送带有跨域请求的 cookie。 fetch 要求将其 credentials 参数设置为 include。
服务器端，将 Access-Control-Allow-Credentials 设置为 true。
另请注意，您的 cookie 是 samesite=strict。在生产环境中，如果您的应用和 api 使用两个域，则永远不会发送。
这里真正的问题是为什么使用 cookie 而不是 Authorization 标头？
【讨论】：