未设置身份验证 cookie（CORS？）

Question

我已经构建了一个带有 angular 的 webapp 和一个带有 nestjs 的后端。作为身份验证，我想使用我们的 keycloak 服务器（jwt 令牌）。

我正在使用 OpenID Connect 机制。

在开发模式下，一切正常（前端：http://localhost:4200，后端：http://localhost:3030，keycloak（生产服务器）：https://auth.域）

相应的调用包含以下标头：

Request URL: http://localhost:3030/v1/auth/keycloak/callback?session_state=*****
Request Method: GET
Status Code: 302 Found
Remote Address: [::1]:3030
Referrer Policy: strict-origin-when-cross-origin
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: *
Connection: keep-alive
Content-Length: 88
Content-Type: text/html; charset=utf-8
Date: Wed, 05 Jan 2022 10:30:06 GMT
Keep-Alive: timeout=5
Location: http://localhost:4200/
Set-Cookie: Authorization=Bearer%20ey****; Path=/
Vary: Accept
X-Powered-By: Express
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate, br
Accept-Language: de-DE,de;q=0.9,en-US;q=0.8,en;q=0.7
Connection: keep-alive
Host: localhost:3030
sec-ch-ua: "(Not(A:Brand";v="8", "Chromium";v="100", "Google Chrome";v="100"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: cross-site
Sec-Fetch-User: ?1
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4758.9 Safari/537.36

但现在我尝试将后端部署到生产服务器。它在 nginx 代理管理器后面的 docker 容器中运行。所以调用是 angular(http://localhost:4200) -> nginx proxy(https://api.domain) -> nestjs(container:3030) -> keycloak(https://auth.domain)。

调用似乎成功了，后端日志告诉我它已成功接收到令牌。前端也没有显示任何错误，但是没有设置cookie，我不知道为什么。

检查网络调用，一切都应该没问题。 set-cookie 标头在那里，但只是没有设置，或者我无法从浏览器/js 访问它（因为我在浏览器开发工具中找不到它）。请注意，我的通话中没有“httpOnly”标志 - 这似乎是一个不同的问题。

这是与生产后端的调用：

Request URL: https://api.domain/v1/auth/keycloak/callback?session_state=****
Request Method: GET
Status Code: 302 
Remote Address: 10.64.0.101:443
Referrer Policy: strict-origin-when-cross-origin
access-control-allow-credentials: true
access-control-allow-origin: *
content-length: 88
content-type: text/html; charset=utf-8
date: Wed, 05 Jan 2022 11:38:30 GMT
location: http://localhost:4200/
server: openresty
set-cookie: Authorization=Bearer%20ey***; Path=/
vary: Origin, Accept
x-powered-by: Express
x-served-by: api.mtg
:authority: api.mtg
:method: GET
:path: /v1/auth/keycloak/callback?session_state=***
:scheme: https
accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
accept-encoding: gzip, deflate, br
accept-language: de-DE,de;q=0.9,en-US;q=0.8,en;q=0.7
cookie: Authorization=Bearer%20eyJhbG***
sec-ch-ua: "(Not(A:Brand";v="8", "Chromium";v="100", "Google Chrome";v="100"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
sec-fetch-dest: document
sec-fetch-mode: navigate
sec-fetch-site: cross-site
sec-fetch-user: ?1
upgrade-insecure-requests: 1
user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4758.9 Safari/537.36

我怀疑这是某种 cors 问题，但我无法理解它......

Answer 1

今天，由于最近添加的SameSite cookie 功能，当通过 HTTP 发送 cookie 时，您会遇到很多 cookie 问题。身份验证期间使用的大多数重要 cookie 现在都需要 HTTPS 才能工作。后端会将 cookie 发送到浏览器，但如果您使用 HTTP，则浏览器不会包含它们。

我建议您切换到 HTTPS 并重试。