javascript - 保护 CORS : is there a security scheme with cookies?

Question

我有两个网络服务器响应两个不同的端口。我有一个主要的 web 服务器，它为一个网站提供大量 javascript 支持 HTTP 摘要身份验证，辅助 web 服务器只执行可以直接访问的 CGI，总是使用 HTTP 摘要，或者可以通过与 ajax 请求相关的 CORS 访问主要的网络服务器。两台服务器共享相同的用户凭据。

我的问题是，当 javascript 向辅助网络服务器发出请求时，我不希望浏览器提示输入凭据。

我想出了一个想法，我可以在对辅助 Web 服务器的 ajax 请求中添加一些特殊的 header ，如果存在这个 header ，我就可以忽略 HTTP 身份验证。由于服务器共享用户凭据，如果用户能够登录到主网络服务器，他也将能够登录到第二个服务器。

使用固定的header当然是没有用的。所以问题是:CORS 中是否有一种机制可以告诉辅助 Web 服务器用户已经在第一个服务器中通过了身份验证？在 cookie 中交换 token 的安全方式之类的东西？

Answer 1

如果只是端口不同，cookie 将在这些来源之间共享。因此，如果您确定一旦用户访问 origin 1 就设置了 cookie，它们将包含在对 origin 2 的请求中，只要(假设您使用的是 XMLHttpRequest)withCredentials 设置为 true。

当然，现在这些 cookie 应该包含一些身份验证数据，您可以在让它们绕过 HTTP 身份验证之前验证这些数据。

希望您使用的是 HTTPS，这样凭据就不会受到网络攻击者的攻击。<​​/p>