javascript - 来自远程 API 的 Set-Cookie 不起作用

Question

我目前的项目需要使用 httpOnly cookie。该项目需要直接调用 API。

假设是 xxx.com/vx/auth/login 验证用户登录尝试。该端点将向客户端提供响应并设置 cookie。像这样:

Set-Cookie:token=eyJ0b2tlbiI6ImV5SmhiR2NpT2lKSVV6STFOaUlzSW5SNWNDSTZJa3BYVkNKOS5leUoxYVdRaU9pSXhNREewT0RJd05DSXNJbDlwWkNaNkluWXhYM1Z6WlhKekx6RX dNRFE0TWpBMElpd2libUZ0WlNJNklrRm5kVzVuSUZOMWNubGhJRUpoYm1kellTSXNJbVZ0WVdsc0lqb2ljR0ZwYm1GdVpHVnpkR2x1WldSQWVXRm9iMjh1WTI5ddlpd2liR1YyWld3aU 9qQXNJbWxoZENJNk1UUTNOek0zTVRnMk55d2laWGh3SWpveE5EYzNOVFEwTmpZc2ZRLmtUN0IzNW9YYjQ2RmU3WWFLYkd4MXhoYkdGUWJ1TFg1U053N3FWSjNfa2siffQ==;到期=2016 年 10 月 27 日星期四 05:04:27 GMT；路径=/;仅限HTTP


但是当我查看 devtools 时，未设置 cookie。即使我刷新了几次。

我在这里错过了什么？我需要创建一个代理来处理这个吗？ * 我以前用过代理，效果很好

Answer 1

我最终通过与后端工程师的协调解决了这个问题:

1. 从 Access-Control-Allow-Origin 中删除通配符并改用特定域来源。如果没有，
2. 设置 Access-Control-Allow-Credentials: true

在请求中，我将 withCredentials 设置为 true。

注意:如果将 withCredentials 设置为 true，则必须将 Access-Control-Allow-Credentials 设置为 true 还有。另外，如果您仍然在 Access-Control-Allow-Origin 中使用通配符，这将不起作用。

Further reading about "Request With Credentials"