当从不同域上的 API 发出 cookie 时，Safari iOS“防止跨站点跟踪”选项是否有解决方法？

Question

是否有任何解决方法可以让我保持启用“防止跨站点跟踪”选项（默认情况下，因此每个用户都会启用它），并从位于不同域的后端 api 发出 CORS cookie比我的角度应用程序？

我的应用程序流程如下： 1. 用户登录 2. 服务器进行身份验证，发出 JWT 并将 JWT 存储在 HttpOnly cookie 中 3. 所有 Angular 请求都具有 {withCredentials: true}

这在....windows 桌面浏览器上工作得很好。但是，当我尝试在 Safari iOS 和 mac Safari 上登录时，cookie 不会保存，也不会随后续请求一起发送。

我发现禁用“防止跨站点跟踪”选项有效，但我不能指望我的所有用户都禁用此选项以使用我的应用程序。

现在有什么解决方法吗？

Answer 1

我建议将您的网站和 api 放在同一个域中，例如https://web.mydomain.com和https://api.mydomain.com。这应该不会太难实现 - 我还没有在网上找到任何简单的技术解决方案，可以强制 iOS 上的 Safari 在不更改设置的情况下允许这样做。