javascript - XHR2 withCredentials - 发送哪些 cookie？

Question

希望这个问题很容易回答。

通过 XHR2 中的凭证请求，会发送哪些 cookie？

我一直在关注the MDN article on credentialed requests ，它显示 cookie pageAccess=2 随请求一起发送。然而，它没有解释该 cookie 来自哪里，以及为什么发送该 cookie。是否只是页面设置的所有 cookie 都在任何经过​​认证的请求中发送？

Answer 1

来自 CORS 上的 HTML5 Rocks 页面:

The .withCredentials property will include any cookies from the remote domain in the request, and it will also set any cookies from the remote domain.

我认为“任何 cookie”意味着“所有 cookie”(可能受 cookie 上仅 HTTPS 标志的影响)，因为没有机制可以使用 XHR2 指定 cookie。

发送的 cookie 是由远程域设置的 cookie:如果 foo.com 向 bar.com 发送一个经过认证的请求，由 bar.com 设置的任何 cookie 都会被发送。具体来说，假设 facebook.com 有一个支持 CORS 的 API，需要您登录才能使用。我之前已在浏览器 session 中登录 Facebook，但现在我正在浏览 foo.com，它将代表我使用 Facebook 的 API。 foo.com 要求浏览器向 facebook.com 发送跨域请求以及我所有的 facebook.com cookie 这样 Facebook 就知道我是谁，并且我已经向 Facebook 进行了身份验证。