使用 CORS XHR 时浏览器不发回 cookie

Question

编辑 - 使用 Chrome 网络检查器查看 cookie，似乎无论 cookie 的过期值是什么，浏览器都将其设置为会话 cookie 并根据请求将其删除。

我正在使用 Node.js 和 Express 为我正在教授的课程构建一个 CORS 示例。

但是，虽然 cookie 是从服务器设置的，但它们不会在后续请求中被发送回服务器。这几乎意味着我不能使用任何琐碎的会话管理器。

知道我在这里缺少什么吗？为什么浏览器不将域设置的 cookie 发送回该域？这不应该自动发生吗？

编辑 - 一些代码示例： 设置 XHR 请求：

var xhr = new XMLHttpRequest();

xhr.open(method, url, true);
xhr.widthCredentials = true;

xhr.onreadystatechange = function(res){
    if (xhr.readyState == 4){
        cb(res,xhr);
    }
};

xhr.setRequestHeader("Content-Type",'application/json');

xhr.setRequestHeader('Accept','application/json');

xhr.send(JSON.encode({param:some_param})); 

服务器：

function allowCrossDomain(req,res,next) {  
    res.header('Access-Control-Allow-Credentials', true);
    res.header('Access-Control-Allow-Origin', req.headers.origin);
    res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE,OPTIONS');
    res.header('Access-Control-Allow-Headers', 'Content-Type,Accept,X-Requested-With');

    if (req.method!='OPTIONS') return next();

    res.send(204);
}                 

//while configuring express
app.use(allowCrossDomain)

还值得一提的是，我尝试了各种npm 中间件，它们做同样的事情，没有明显的区别

关于场景：

1. 使用 XHR 发出 CORS 请求
2. 服务器设置了一个 cookie，该 cookie 正在成功发送回客户端（快速会话 cookie）
3. 下一个 XHR 请求不会将该 cookie 发送回服务器，因此 express 无法识别用户，因此会创建一个新的会话 cookie，依此类推。

Answer 1

我刚遇到这个问题，我的解决方案是添加cookie的路径，所以添加cookie时必须使用：

document.cookie = 'cookieName=cookieValue;path=/';

这样浏览器将能够在新请求中发送 cookie。

PS：如果您使用跨域请求，您还需要xhr.withCredentials = true;。

Answer 2

除了我读过的内容外，我对此一无所知，但根据the MDN docs，XHR 对象上有一个“withCredentials”属性，需要设置：

xhr.withCredentials = true;

默认为false。如果没有设置该标志，则不会传输 cookie，并且响应中的 cookie 标头将被忽略。

edit — 我发誓我读过你的问题几次，但我完全错过了你提到的 flag 。对不起。但是，由于这不是完全浪费，我还要提到您的服务器需要在响应标头中将“Access-Control-Allow-Credentials”标志设置为true，并且“Access-Control- Allow-Origin" 设置为您当前的协议 + 主机 + 端口。

Answer 3

我遇到了类似的问题，结果是浏览器设置阻止了第三方 cookie（Chrome > 设置 > 高级设置 > 隐私 > 内容设置 > 阻止第三方 cookie 和站点数据）。解锁解决了问题！

Answer 4

这个happened to me之前，我可以说它很愚蠢。

如果您使用的是虚拟机，您通常会在需要时暂停/恢复它等。

这意味着虚拟机的日期通常比主机或您正在使用的任何客户端晚几天（或更多）。

因此，当服务器设置 cookie 的过期日期（通常在当前日期后几个小时）时，它在客户端上已经过期。因此，客户端不会保留它。

要在虚拟机上更新日期，我建议你直接使用ntpdate，或者你可以手动设置日期看看是否有问题：

# what's the date?
date
# You'll see if it's the problem already

# If it is, here is how to manually set it
date -set 2012-07-22 # yyyy-mm-dd
date -set 17:00:42 # hh:mm:ss