javascript - 使用 crendentianals 发送预检(选项)AJAX 请求

Question

我有一个使用服务器端 API 的客户端应用程序。客户端和服务器端应用程序放置在不同的域中。放置在服务器端 cookie 中的 session ID。因此，客户端应用程序应在每个 AJAX 请求中发送 cookie。我在 Xhr 对象中使用 withCredentials 选项来发送带有每个 AJAX 请求的 header 。问题是预检选项请求中没有 header 。但是我需要这个 cookie，因为服务器端应该知道谁发送了这个请求，因为每个用户都有自己的路由。

Answer 1

实际上，浏览器永远不会在 OPTIONS 请求中发送凭据。这些请求的存在是为了允许浏览器检索 Access-Control-* 响应 header 。看看 CORS Article on MDN ，讨论 XMLHttpRequest 上 withCredentials 的使用和响应中的 Access-Control-Allow-Credentials。浏览器将拒绝任何不包含Access-Control-Allow-Credentials: true header 的响应，并且不会使响应对调用网络内容。

另外，考虑使用 Token-Auth 而不是 Cookies。 Good read here