当 Ajax 请求从不同域返回时设置 cookie

Question

我有一个需要基本身份验证的移动网络应用程序。我设法在不同域的服务器上使用 Ajax 调用基本身份验证。但是，我的回复有问题。

通常，Ajax 响应将通过设置的 cookie 标头在浏览器中设置会话 ID。我注意到认证成功后并没有发生这种情况。

我所做的是尝试通过在返回响应时读取标头来手动设置 cookie。我通过 jQuery 的 jqxhr 对象实现了这一点。令我惊讶的是，即使服务器指示返回了 sessionID，我也无法通过 jqxhr 在响应中看到任何设置的 cookie 标头。

这是跨域请求的预期行为吗？一些响应标头会被丢弃吗？这是浏览器的安全功能吗？如果是这样，您建议如何解决这个问题（例如，返回正文中的会话 ID，我不想这样做，因为我在后台使用 Shiro 安全过滤器来处理这个问题，我不这样做想要破解它）？

请帮忙

Answer 1

不能使用ajax请求跨域uri。您必须实现自己的服务器端代理，它将处理远程身份验证服务器的请求/响应。它可以只复制/粘贴响应，但它必须与您的客户端位于同一域中。

cookie 也是如此，它们有一个可以读取/写入的域。

您将被授权仅请求此代理。它还可以处理cookie创建过程，然后将cookie id返回给客户端。

对于（一个非常简单的）示例，在 www.auth.com 上，您有这个 Web 服务：

url : www.auth.com/auth
@params : string uuid, string password
@returns : int shiroSessionId // yes it's more complicated, but KISS for the example

您应该在 www.mydomain.com/myAuth 上创建一个类，该类使用相同的参数获取 www.auth.com/auth 服务，并且创建本地会话 cookie

url : /myAuth
@params : string uuid, string password
@returns : int cookieId, -1 if login failed

最后在 www.mydomain.com/login.html 中，您将有以下 js 调用（此处为 jquery）：

$.ajax(function() {
  url : '/myAuth',
  date : {uuid: inputUuid, password: inputPassword}, // provided by a form
  success(cookieId) {
    if(cookieId > 0) {
      alert('logged with cookie '+getCookie(cookieId));
    } else {
      alert('login failed');
    }
  }
});

希望有帮助。

问候