HttpOnly Cookie 和获取

Question

如果{凭据：“ inclage”}存在于选项中，是否会使用fetch api发送带有httponly and Secure属性的cookie？

fetch("https://some.url", {
  mode: "same-origin",
  credentials: "include",
  redirect: "manual"
})

Answer 1

有几种条件必须满足，但是是的。

1. 客户端以凭证的提取请求初始化：'include'。有关更多详细信息，请参见[此处] [1]。
2. 要执行CORS，服务器响应标头必须包含访问控制 - 允许 - 原始明确设置为域，可能与服务器域不同。例如，在单页应用架构中，您的前端站点临时托管在Localhost：3000，而您的后端服务器则托管在Localhost：8000，然后标题应为access> access-control-control-allow-allow-origin：http：http：http：http：http：http：http：http：http：http：http：http：http：http：http：http： // localhost：3000。请参阅[此处] [2]和[此处] [3]。
3. 要允许客户端处理Cookie，这显然是一种敏感的资源，服务器响应标头必须进一步包含access-control-wall-allow-Credentials：true。参见[此处] [4]。请注意，这为access-control-allow-Origin强制执行非Wildcard设置。请参阅[此处] [6] - 这就是为什么在上面的第2点中，必须将其明确设置为http：// localhost：3000而不是*
4. 服务器设置cookie时，必须包括samesite = none;安全的; httponly。因此，总体而言，例如set-cookie：session_id = 12345; samesite = none;安全的; httponly。 samesite似乎是最新浏览器中的相对[新要求] [5]，当samesite设置为secure时，必须一起使用无。
5. 关于httponly，我没有找到相关材料，但是在我的实验中，省略它导致浏览器忽略set> set-cookie header。 li>
6. 进一步向后端服务器的请求也必须具有凭据：'include' set。

来源： https://stackoverflow.com/a/a/67001424/368691