基于 Cookie 的身份验证适用于桌面浏览器，但不适用于移动浏览器答案

【问题标题】：Cookie-based authentication works on desktop browsers but not on mobile ones基于 Cookie 的身份验证适用于桌面浏览器，但不适用于移动浏览器
【发布时间】：2021-11-11 21:45:46
【问题描述】：

我在后端使用 express.js 和 Sequelize，我的身份验证路由如下所示：

exports.signin = (req, res) => {
    Admin.findOne({
        where: {
            username: req.body.username
        }
    })
        .then(admin => {
            if (!admin) {
                return res.status(404).send({
                    ERR: USER_NOT_FOUND
                });
            }

            var passwordIsValid = bcrypt.compareSync(
                req.body.password,
                admin.password
            );

            if (!passwordIsValid) {
                return res.status(401).send({
                    ERR: WRONG_PASSWORD
                });
            }

            const tokenBody = {
                id: admin.id,
                isMaster: (admin.username == "Master")
            };

            var token = jwt.sign(tokenBody, process.env.JWT_SECRET, {
                expiresIn: tokenExpirationTime
            });

            res.cookie('auth_token', token, {
                // 'tokenExpirationTime' is in seconds (as required for JWT), but maxAge 
                // expects milliseconds, so it must be multiplied by 1000:
                maxAge: tokenExpirationTime * 1000,
                httpOnly: true,
                secure: true
            });

            res.status(200).send({ success: true });
        })
        .catch(err => {
            console.error(err);
            res.status(500).send({
                ERR: INTERNAL_SERVER_ERROR
            });
        });
};

我在前端使用 Ejs，我的登录代码是：

const signInUrl = '/api/auth/signin';
let form = document.getElementById('login');

form.onsubmit = async (e) => {

    e.preventDefault();
    let data = new FormData(form);
    data = {
        username: data.get('username'),
        password: data.get('password')
    };

    axios.defaults.withCredentials = true

    axios.post(signInUrl, data, { withCredentials: true })
        .then(response => {
            // Redirect to the home page:
            if (response.data.success)
                window.location.replace('/');
            else // console.log(response.data);
                informError(0);
        })
        .catch(error => {
            console.error(error);
            if (error.response) {
                if (error.response.data && error.response.data.ERR)
                    informError(error.response.data.ERR);
                else
                    informError(0);
            } else {
                informError(1);
            }
        });
}

现在的问题是系统在桌面浏览器上运行良好（我已经使用了一个多月了，它通过了各种测试），但在移动浏览器上却不行！

在移动设备上，我正在登录并成功将我重定向到主页，但是我仍在使用登录按钮，表明我没有登录。另外，我无法访问任何受保护的路线，收到“需要登录”错误！

任何帮助将不胜感激！

【问题讨论】：

标签： node.js express authentication cookies axios

【解决方案1】：

所以对于那些有同样问题的人来说，对我来说，当我尝试使用如下 URL 从我的手机访问服务器（在我的笔记本电脑“localhost:3000”上）时，问题就出现了：http://192.168.0.107:3000。我发现问题与受保护的 cookie (secure: true) 有关，因为我使用的是 http 而不是 https，但桌面浏览器通常使用该 cookie。所以我想在 https 协议上的域上部署应用程序将解决这个问题。但出于测试目的，只需删除 secure: true 部分即可。

【讨论】：