即使所有 CORS 允许，Firefox 也不会保留跨域发送的 cookie

Question

我在使用 Firefox 时遇到问题，而 Chrome 工作正常。这是情况:

Website1.com 在 SSL 中返回一个 html 页面。

此页面通过 img 标记或 XMLHttpRequest(相同问题)在 SSL 中向 Website2.com 发出请求。

Website2.com 返回一个要为自己设置的 cookie

Firefox 会忽略此 cookie。即使它显示在控制台中，它也永远不会被存储。

控制台不会提示任何事情。

客户端发送:

Origin: https://website1.com

服务器返回:

Access-Control-Allow-Credentials: true
Access-Control-Allow-Headers: *
Access-Control-Allow-Methods: *
Access-Control-Allow-Origin: https://website1.com
Access-Control-Expose-Headers: *
Set-Cookie: ...

关于 CORS，我还缺少什么？

谢谢!

Answer 1

Access-Control-Allow-Credentials: true

是一个特殊的标志。如果一方声明，另一方也必须声明，否则安全失败，浏览器将不接受数据。

因此，将相同的 header 添加到客户端请求中。 (或者，如果您控制服务器，请考虑不使用 cookie 并使用其他机制传递数据)