ajax - 本地主机请求 header 不发送 cookie

Question

我正在构建一个 nodeJS 服务器，它允许用户在客户端应用程序上使用 AJAX post 登录。服务器以 cookie 响应，在成功登录后，该 cookie 会跟踪用户。但是，我似乎无法让客户端应用程序将 cookie 发送回服务器。它似乎从不响应服务器，包括它刚刚收到的 cookie。

在第一次调用服务器时，我使用我的凭据登录。服务器响应如下:

在响应 header 中:

Set-Cookie:SID=0xtW36rYCiV; path=/; expires=Tue, 24-Jun-2014 14:14:51 GMT; secure

在后续的请求头中: 没有cookie被发送回服务器

在我的客户端应用程序中，我使用了以下代码:

jQuery.ajax( {
            url: this.domain + this.url,
            async: this.async,
            type: 'POST',
            dataType: this.dataType,
            crossDomain: true,
            cache: true,
            accepts: 'text/plain',
            data: this.postVars,
            success: this.onData.bind( this ),
            error: this.onError.bind( this ),
            xhrFields: {
                withCredentials: true                   
            }
        });

请注意，我正在使用 xhrFields。

在我的 Node 服务器中，我对此作出回应:(注意我包括了所有 CORRS 变量)

if ( request.headers.origin )
{
    if ( request.headers.origin.match( /mydomain\.net/ ) || request.headers.origin.match( /appname\.mydomain\.com/ ) || request.headers.origin.match( /localhost/ )
                || request.headers.origin.match( /localhost\.com/ )
                || request.headers.origin.match( /localhost\.local/ )
                || request.headers.origin.match( /localtest\.com/ ) )
            {
                response.setHeader( 'Access-Control-Allow-Origin', request.headers.origin );
                response.setHeader( 'Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE,OPTIONS' );
                response.setHeader( 'Access-Control-Allow-Headers', 'Content-Type, Authorization, Content-Length, X-Requested-With' );
                response.setHeader( "Access-Control-Allow-Credentials", "true" );
            };
        }

        response.writeHead( 200, { "Content-Type": "application/json" });
        response.end( JSON.stringify( json ) );
}

我还编辑了我的 Windows 主机文件以包含这些测试域，这样我就不必自己使用 IP 或本地主机:

127.0.0.1       localhost
127.0.0.1       tooltest.com
127.0.0.1       localhost.com
127.0.0.1       localhost.local

但是无论我做什么，或者我使用上面的哪一个主机，它似乎都不起作用。它似乎只通过 ajax 与 localhost 相关，因为如果我直接转到有问题的服务器 url - 它有效。

编辑 1

例如 - 我打开客户端应用程序并尝试登录到位于 foo.com/user/log-in 的服务器。请求和响应的 header 如下:

请求:

Remote Address:188.xxx.xxx.xx:7000
Request URL:https://foo.com:7000/user/log-in
Request Method:POST
Status Code:200 OK
Request Headersview source
Accept:undefined
Accept-Encoding:gzip,deflate,sdch
Accept-Language:en-GB,en-US;q=0.8,en;q=0.6
Connection:keep-alive
Content-Length:45
Content-Type:application/x-www-form-urlencoded; charset=UTF-8
Host:foo.com:7000
Origin:http://localhost
Referer:http://localhost/animate-ts/trunk/bin/
User-Agent:Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.153 Safari/537.36
Form Dataview sourceview URL encoded
user:mat
password:testpassword
rememberMe:true

响应:

Response Headersview source
Access-Control-Allow-Credentials:true
Access-Control-Allow-Headers:Content-Type, Authorization, Content-Length, X-Requested-With
Access-Control-Allow-Methods:GET,PUT,POST,DELETE,OPTIONS
Access-Control-Allow-Origin:http://localhost
Connection:keep-alive
Content-Type:application/json
Date:Tue, 24 Jun 2014 14:14:21 GMT
Set-Cookie:SID=0xtW36rYCiV; path=/; expires=Tue, 24-Jun-2014 14:14:51 GMT; secure
Transfer-Encoding:chunked

据我了解，Foo.com 已告知浏览器存储 cookie 0xtW36rYCiV。但是，当我发出下一个请求 (foo.com/user/is-logged-in) 以查看用户是否已登录时，没有任何 cookie 被发送到 foo。 Foo.com 查找 ID 为 0xtW36rYCiV 的 cookie，但找不到任何内容。当我在开发工具中查看第二个请求时，我可以看到:

有没有人有任何其他想法？我以为我涵盖了上面的所有内容，但我开始认为它行不通:(

谢谢垫子

Answer 1

我的 cookie 未标记为安全，我在尝试从 http://localhost:3000/向我的服务器 ( https://auth.mywebsite.com ) 发送 GET 请求时遇到了这个问题。

我在这里使用与 OP 相同的身份验证流程。首先，登录 auth.website.com，并在响应头中接收回 cookie:

set-cookie: Authorization=Bearer%20blahblah.blahblah.blahblah; Path=/; Expires=Wed, 05 Aug 2020 02:07:57 GMT; HttpOnly

请注意，我在 set-cookie 中没有 Secure 标志。

我注意到在 Chrome devtools 中，将鼠标悬停在 set-cookie 行上时会弹出此警告:

“此 Set-Cookie 未指定“SameSite”属性且默认为“SameSite=Lax”，并被阻止，因为它来自跨站点响应，而不是对顶级导航的响应. Set-Cookie 必须设置为“SameSite=None”才能启用跨站点使用。”

这可能是我的问题的答案。但是，我不明白为什么这在昨天有效，但今天却无效。中间没有更改代码。

这个问题在 Chrome 和 Safari 上都会出现。

MDN docs对 Set-Cookie 的所有标志都有很好的描述。

这不是一个完整的答案，但对于其他面临类似问题的人来说可能是一些额外的背景信息。