源映射HTTP請求不發送cookie標頭

Question

關於源映射，我在chrome中遇到了一個奇怪的行為（build 181620）。 在我的應用程序中，我使用縮小的jquery，登錄后，我開始在服務器日志文件中看到“jquery.min.map”的HTTP請求。 這些請求缺少cookie頭（所有其他請求都沒問題）。 這些請求甚至沒有暴露在開發人員工具的網絡標簽中（這不會讓我感到煩惱）。

關鍵是，這個應用程序中的js文件只能用於登錄客戶端，因此在此設置中，源映射要么不起作用，要么我必須將源映射的位置更改為公共目錄。

我的問題是：這是一個理想的行為（意思是 - 源地圖請求不應該發送cookie）或者它是Chromium中的錯誤？

Answer 1

該String InspectorFrontendHost::loadResourceSynchronously(const String& url)實施InspectorFrontendHost.cpp ，這就是所謂的裝載sourcemap資源，采用DoNotAllowStoredCredentials標志，我相信你所觀察的行為結果。

這種方法有潛在的危險，所以這個標志是我們（你）安全的一面，避免泄漏敏感數據。

另外，將jquery.min.js僅提供給登錄用戶（即不是來自無Cookie域）並不是一個非常好的想法，無法在生產環境中進行部署。 我不確定你背后的想法，但如果你肯定需要避免將文件提供給不訪問你網站的客戶，你可以選擇檢查Referer HTTP請求標題。

Answer 2

我遇到了這個問題，並對為什么某些身份驗證cookie沒有在.js.map文件的請求中發送到我們的應用程序感到好奇。

在我使用Chrome 71.0.3578.98進行的測試中，如果SameSite cookie atttribute設置為strict或lax的Cookie，則Chrome在請求.js.map文件時不會發送該Cookie。 如果沒有sameSite限制，則會發送cookie。

我不知道任何預期行為的規范。