node.js - 如何在跨源请求中保留 session 数据？

Question

我是 Express 和 Connect 的新手，所以我希望我正在做一些有简单解决方案的蠢事...

基本上，我有一个用户使用 Persona 登录的页面。为了验证身份验证尝试，我使用 express-persona .据推测，该模块将用户经过验证的电子邮件地址保存在 session 变量中(默认情况下为 req.session.email)。

现在，登录后，用户可以发表评论，该评论将与用户登录时使用的电子邮件地址一起保存。当提供表单的服务器与处理发布的服务器相同时的评论，这工作正常。但是，当它们不同时(假设用户在 http://localhost:8001 填写表单，而浏览器随后向 http://localhost:8000 发送 POST 请求 应该保存评论)，突然之间 req.session.email 的值是 undefined。

我认为我正确设置了跨源资源共享。表单是这样发送的(使用 jQuery):

$.ajax('http://localhost:8000/post/comment',
       {
           data: {comment: $('#commentField').val()},
           type: 'POST',
           xhrFields: {withCredentials: true}
       }
);

(注意 xhrField: {withCredentials: true}—— session cookie 被传递，我通过检查网络请求验证了这一点。)

服务器设置(我认为)正确的 CORS header :

res.header('Access-Control-Allow-Origin', 'http://localhost:8001');
res.header('Access-Control-Allow-Methods', 'GET,PUT,POST,DELETE,OPTIONS');
res.header('Access-Control-Allow-Headers', 'Content-Type, Authorization, Content-Length, X-Requested-With');
res.header('Access-Control-Allow-Credentials', 'true');

当我添加 console.log(req.cookie) 时，我看到 sessionId cookie 与随 POST 请求一起发送的 cookie 具有相同的值。

但是: console.log(req.session.email) 显示 undefined 用于跨源请求——同样，它工作正常当请求来自同一来源时。

我做错了什么？

Answer 1

我发现了我的问题:我忘记在身份验证请求中发送 cookie。因此，Express服务器在登录时无法识别当前用户的session，从而无法将用户数据保存到session中。

解决方案是同时发送带有 withCredentials 标志的 Persona 断言请求，如下所示:

var response = $.ajax(assertionUrl + '/verify', {
    data: {assertion: assertion},
    type: 'POST',
    xhrFields: {withCredentials: true}
});

(我认为没有人会遇到完全相同的问题，但以防万一...)