httponly cookie不会根据要求获得通过

Question

我正在尝试在我的Symfony项目中实现MarkitoSGV/Jwtrefreshtokenbundle，以获取一种刷新我的JWT令牌的方法。 为此，我想生成一个httponly cookie，这是捆绑包的支持。

当我从前端登录时（Angular 13）时，我会得到我的JWT令牌（来自lexik/lexikjwtauthenticationbundle），以及set> set> set> cookie header like：

Request URL: https://api.mysite.com/api/login_check
Request Method: POST
Status Code: 200 OK
Remote Address: 192.168.1.43:443
Referrer Policy: strict-origin-when-cross-origin
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://front.mysite.com:4200
Access-Control-Expose-Headers: link
Cache-Control: no-cache, private
Connection: Keep-Alive
Content-Type: application/json
Date: Mon, 25 Apr 2022 15:54:30 GMT
Keep-Alive: timeout=5, max=99
Server: Apache/2.4.41 (Ubuntu)
Set-Cookie: refresh_token=a2615d6dd2986680fd79807c61d050424b4e290090a4beaf1f1063c0c8f1807681d86c1c07216630a629667e711897dbae7a6083884d3f19b028aa72f9bbca84; expires=Tue, 26-Apr-2022 09:07:50 GMT; Max-Age=62000; path=/; domain=mysite.com; secure; httponly; samesite=lax
Transfer-Encoding: chunked
X-Debug-Token: e31102
X-Debug-Token-Link: https://api.mysite.com/_profiler/e31102
X-Robots-Tag: noindex

当然，我无法检查cookie是否是创建的，因为它是httponly，

然后在我的角度上，我有一个带有以下简单代码的测试按钮：

  onCallRefreshToken() {
    this.http.post('https://api.mysite.com/api/token/refresh', {site:2}, {withCredentials: true}).subscribe((datas) =>{
      console.log('datas', datas);
    });

  }

当我运行它时，我会收到以下错误：[401]缺少jwt刷新令牌

如果将请求转储到sympfony中，我会看到$ request- cookies-＆gt;参数是空的。当我查看Chrome Inspector的发送请求时，我会看到以下内容

Request URL: https://api.mysite.com/api/token/refresh
Request Method: POST
Status Code: 401 Unauthorized
Remote Address: 192.168.1.43:443
Referrer Policy: strict-origin-when-cross-origin
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: https://front.mysite.com:4200
Access-Control-Expose-Headers: link
Cache-Control: no-cache, private
Connection: Keep-Alive
Content-Type: application/json
Date: Mon, 25 Apr 2022 16:00:44 GMT
Keep-Alive: timeout=5, max=100
Server: Apache/2.4.41 (Ubuntu)
Transfer-Encoding: chunked
Vary: Authorization
X-Debug-Token: 54c0bb
X-Debug-Token-Link: https://api.mysite.com/_profiler/54c0bb
X-Robots-Tag: noindex
Accept: application/json, text/plain, */*
Accept-Encoding: gzip, deflate, br
Accept-Language: fr-FR,fr;q=0.9,en-US;q=0.8,en;q=0.7
Authorization: Bearer AVeryLongAndValidTokenHere
Connection: keep-alive
Content-Length: 10
Content-Type: application/json
Host: api.mysite.com
Origin: https://front.mysite.com:4200
Referer: https://front.mysite.com:4200/
sec-ch-ua: " Not A;Brand";v="99", "Chromium";v="100", "Google Chrome";v="100"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-site
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36

： 因此，如您所见，cookie似乎并没有在请求中传递，这显然可以解释为什么我不在Symfony API中得到它。

因此，从我阅读的内容来看，“配置”角度http调用以传递httponly cookie的方法是将选项设置为“ withCredentials”为true。但这似乎不起作用。

请注意，我似乎没有任何CORS问题（相同的域，安全的，允许true），而HTTPS正常工作，

我做错了什么？你有什么想法吗？我不是用正确的方式称呼API吗？

编辑：这是关于cookie的我的捆绑包配置：

gesdinet_jwt_refresh_token:
    # ...
    ttl: 62000
    return_expiration: true
    cookie:
        enabled: true
        same_site: lax
        path: /
        domain: mysite.com
        http_only: true
        secure: true
        remove_token_from_body: true

Answer 1

好的，所以当请求/api/token/refresh时，我的刷新令牌未通过，，但是当

仅在“刷新”路线上使用此选项调用初始“登录”路线！不足以使其有效