“拒绝设置不安全的标头'Cookie'”，同时以角度 6 发送带有 GET 请求的 cookie

Question

我正在使用 Angular 6 的 Spring Security。当我使用基本身份验证服务器登录时，会发送一个带有响应的 cookie JessionID。我想将此 cookie 与其他请求一起发送以进行身份​​验证，但它给了我错误 Refused to set unsafe header 'Cookie' 。当我在标头中使用相同的 cookie 从邮递员访问相同的端点时，它可以工作。

下面是angular中的方法：

注意：目前我正在手动添加标题。

private heroesUrl = 'http://localhost:8080/hi';
     header = new HttpHeaders().set("Cookie", "JSESSIONID=A2A75EC9A3E1172D60060C6E708549B5");
    getMessage() :Observable<Message>{
      return this.http.get<Message>(this.heroesUrl,{headers:this.header});
    }

我使用基本身份验证登录时得到的响应

Answer 1

你不能这样做，因为浏览器不允许你这样做。让我在这里描述一下问题：

您是否注意到响应标头中的Set-Cookie: JSESSIONID=......; Path=/; HttpOnly？好吧，问题是 HttpOnly 标志。实际上 :) 这不是问题，它是一个防止旨在窃取浏览器 cookie 的攻击的功能：

HttpOnly 是添加到 cookie 的标志，它告诉浏览器不要通过客户端脚本（document.cookie 和其他）显示 cookie。 ...当您使用 HttpOnly 标志设置 cookie 时，它​​会通知浏览器此特殊 cookie 只能由服务器访问

所以浏览器不允许任何 javascript 代码访问这个变量。如果您可以更改该值，那么它就不再是 HttpOnly 标记的 cookie 了：)

如果您想通过 javascript 发送此 cookie，您应该通过 Authorization 标头发送它并在 Java 服务器中编写中间件，以便它从 Authorization 标头中捕获这些值并将它们视为 JSESSIONID cookie .你没有更多选择了:)

Answer 2

我也遇到了这个问题，现在刚刚解决。

我意识到，如果您通过选项{withCredentials: true}，您的浏览器将自动发送所有可用的 cookie 以及您的请求。这样你就不必手动添加cookie，所以它很流畅，我认为它也更安全。

将您的代码更改为此并查看和检查。

当路径与你的前端相同时，Cookies可用。

private heroesUrl = 'http://localhost:8080/hi';
 
getMessage() :Observable<Message>{
  return this.http.get<Message>(this.heroesUrl, {withCredentials: true});
}