來自其他域的 AJAX 響應中的 Cookie 不受歡迎 - 是否有解決方法

Question

我在域api.example.com上有一個服務器端 API

用戶正在訪問www.website.com ，其中腳本向api.example.com發出 XmlHttpRequest 並獲得帶有 cookie 的響應。

看起來 API 的響應 cookie 不受 HTTP 代理的支持。

我知道非跨域泄漏 cookie 策略，但我認為這里的域是api.example.com 。 好像猜錯了

我在api.example.com API api.example.com可以通過其他方式記住從一個站點到另一個站點的用戶數據？ 如果沒有，從這個角度來看，像 Criteo 和其他重定向網站這樣的服務如何工作？

Answer 1

確保您的 API 設置：

1. Access-Control-Allow-Credentials標頭在可能的預檢響應和常規響應中設置為true ，
2. Access-Control-Allow-Origin標頭到來自實際請求的源值，
3. 並且客戶端將XMLHttpRequest.withCredentials設置為true 。