带会话/ cookie的CORS请求

Question

我的应用程序有一个PHP服务器和一个客户端(一个JS单页面应用程序).它们是单独的项目,并部署在不同的域中.客户端使用服务器公开的RESTful API.

此应用程序将与处理身份验证的第三方集成,因此用户无法直接登录.我们的服务器只接收一个SSO令牌(经过适当签名,以便我们验证其完整性).

我们还在传输层为所有请求强制执行安全性.

我想做的是,一旦验证了SSO令牌,就启动我自己的会话,然后将用户重定向到客户端.我认为一旦创建了会话,浏览器就会在异步API调用中自动发送正确的Cookie标头,但似乎并非如此.

这是故意因安全原因而被禁用吗？

Answer 1

您必须设置withCredentials到true了跨域XHR请求包括饼干.

CORS响应也必须说Access-Control-Allow-Credentials: true(这就是widthCredentials默认的原因false).

非常感谢。这可行。我接受这个答案，而不是@CBroe，因为这个还提到了`Access-Control-Allow-Credentials`标头。附带说明一下，`Access-Control-Allow-Origin`不能是通配符（*）。 (2认同)