javascript - 使用身份验证 header 发出跨域请求

Question

首先，服务器(不是我的)返回以下 header :

Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true

我正在尝试找出如何使用身份验证 token 将请求传递到站点。我在本地 apache 服务器上运行代码。

这是我的代码:

function get_data(){
    var url = '$URL';
    var x = new XMLHttpRequest();
    x.open("GET", url, true)
     if (x.readyState == 4 && x.status == 200) {
        var responseText = x.responseText;
        console.log(responseText)
        };
    x.setRequestHeader("Authentication", "Bearer $TOKEN");
    x.withCredentials = true
    x.send()
}

控制台返回:

XMLHttpRequest cannot load $URL. Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://localhost' is therefore not allowed access. The response had HTTP status code 403.

在阅读文档时，我看到不允许手动设置标题。当我删除 x.setRequestHeader("Authentication", "Bearer $TOKEN"); 我确实从服务器得到了答案(显然是身份验证错误。)那么我将如何添加此信息无论如何我的要求？

服务器返回的 header :

Request URL:$serverurl
Request Method:OPTIONS
Status Code:403 Forbidden
Remote Address:$ipaddress
Response Headers
view source
Cache-Control:no-cache
Connection:close
Content-Type:text/html
Request Headers
view source
Accept:"*/*"
Accept-Encoding:gzip, deflate, sdch
Accept-Language:nl-NL,nl;q=0.8,en-US;q=0.6,en;q=0.4
Access-Control-Request-Headers:authentication
Access-Control-Request-Method:GET
Connection:keep-alive
Host:$host
Origin:http://localhost
Referer:http://localhost/mv.html
User-Agent:Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.111 Safari/537.36

Answer 1

在您实际的 GET 请求之前，浏览器会发送一个 OPTION 请求，以检查它有哪些请求“选项”(允许的方法、来源等)。

检查浏览器发送的选项请求(预检)的网络选项卡。此请求必须具有适当的响应 header ，例如

Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
Access-Control-Allow-Methods: POST, GET, OPTIONS

参见此处:https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS#Access-Control-Allow-Methods

由于服务器为选项请求发送 403 状态 header ，这意味着服务器没有正确处理选项请求，或者只是为您的主机设置 403 作为安全措施。除非更改，否则您无法通过 XHR 访问该 api。