Javascript 获取不发送 JWT httponly cookie 到.Net Core 6 API

Question

我一直致力于实现 JWT 和 refresh_tokens。 最新的尝试使用存储在 httpOnly cookie 中的 refresh_tokens。 我的 API 是 .Net Core 6 API，使用 Swagger 和 Postman，似乎一切正常。 我在浏览器 devtools 应用程序选项卡中看到了 refresh_token cookie。 在 Swagger 和 Postman 中，当我运行我的 refresh_token 端点时，它使用 httpContextAccessor 获取 Request.Cookies，没问题。 我在请求标头中看到一个带有我的 refresh_token 的 cookie。 现在，我尝试在运行实时服务器的 VSCode 中复制这项工作时遇到了麻烦。 我正在使用 vanilla JS 前端和 Fetch。 我的登录代码工作正常：

fetch(loginUrl, {
   method: "POST",
   credentials: "include",
   body: JSON.stringify(authBody),
   headers: {
      "Content-Type": "application/json; charset=utf-8"
});

浏览器开发工具显示我的 cookie 没问题。 我尝试调用我的 refresh_token 端点但是不发送 cookie。 我在请求标头中没有看到 cookie。 我一直在尝试上述获取代码的一些变体，但 cookie 不会 go。现在我唯一能想到的是 cors 问题...我的 API 从 VS2022 运行，位于 https://localhost： 7121，我的 VSCode 实时服务器是 http://localhost:5500。

在 API 方面，我尝试使用以下方法设置 cookie：

HttpOnly = true,
Secure = true,
Expires = expireTime,

我也尝试过包含 SameSite 的一些变体，但运气不佳。 非常感谢任何建议或帮助！

Answer 1

好的，看起来我的 cookie 可以正常工作了……似乎 cookie 的“SameSite”属性搞砸了。 我刚刚注意到 Devtools 的“网络”选项卡中的一个复选框显示已过滤掉请求 cookies，它表明 SameSite 严格阻止了 cookie。 我在我的 API 中将它设置为无，看起来 cookie 现在已发送...现在唯一的问题是我返回的响应是不透明的，所以我没有从 API 获得我的新令牌。