来自其他域的 AJAX 响应中的 Cookie 不受欢迎 - 是否有解决方法

Question

我在域api.example.com上有一个服务器端 API

用户正在访问www.website.com ，其中脚本向api.example.com发出 XmlHttpRequest 并获得带有 cookie 的响应。

看起来 API 的响应 cookie 不受 HTTP 代理的支持。

我知道非跨域泄漏 cookie 策略，但我认为这里的域是api.example.com 。 好像猜错了

我在api.example.com API api.example.com可以通过其他方式记住从一个站点到另一个站点的用户数据？ 如果没有，从这个角度来看，像 Criteo 和其他重定向网站这样的服务如何工作？

Answer 1

确保您的 API 设置：

1. Access-Control-Allow-Credentials标头在可能的预检响应和常规响应中设置为true ，
2. Access-Control-Allow-Origin标头到来自实际请求的源值，
3. 并且客户端将XMLHttpRequest.withCredentials设置为true 。