我有一个用 Go 编写的后端,托管在 Heroku 上,我们称它为 https://foo.herokuapp.com
。我有一个托管在不同域上的前端,我们称它为 https://ui.example.com
。
后端 API 有一个端点 /api/user/login
,它以 cookie 的形式发回一个 JSON Web Token,如下所示:
http.SetCookie(w, &http.Cookie{
Name: "token",
Value: token, // the JWT
HttpOnly: false, // for testing, set to true later once I fix this
MaxAge: int(time.Hour * 24 * 3),
Expires: time.Now().UTC().Add(time.Hour * 24 * 3),
Path: "/",
Secure: true,
SameSite: http.SameSiteNoneMode,
})
这些是我在服务器上的 CORS 设置。
crossOrigin := cors.New(cors.Options{
AllowedOrigins: []string{allowedOrigin},
AllowCredentials: true,
AllowedMethods: []string{http.MethodGet, http.MethodPost, http.MethodPut},
})
前端向后端发出如下请求。
const endpoint = "/api/user/login/"
fetch(host + endpoint, {
method: "POST",
credentials: 'include',
body: JSON.stringify({
email,
password
})
}).then((response) => console.log(response))
.catch((err) => console.log(err));
问题: 现在这个 cookie 实际上在我浏览器的网络选项卡中可见。
但 cookie 不存在于应用程序选项卡中(或存在 cookie 的 firefox 中的存储选项卡)。浏览器未保存 cookie,这导致后续请求失败,因为 cookie 中的 token 在处理实际请求之前已被验证和解码。
在另一个有点相关的线程中,我了解到 Heroku 在到达我的应用程序之前终止了 SSL。因此,不能为非 SSL 流量设置安全 cookie。那里的解决方案建议信任在 X-Forwarded-For
中找到的方案。我使用 https://github.com/gorilla/handlers 启用了它封装如下。
// srv is my actual handler
// crossOrigin is the CORS middleware
// finally wrapped by ProxyHeaders middleware
handlers.ProxyHeaders(crossOrigin.Handler(srv))
但这是行不通的。
我阅读了很多话题/博客。到目前为止没有任何效果。我做错了什么?
最佳答案
Cookie 由首先设置 cookie 的域的浏览器保存。只是因为您在“应用程序”选项卡中看不到 cookie,并不意味着没有保存 cookie。
如果您的前端 https://ui.example.com
对 https://foo.herokuapp.com
进行 XHR 调用并且该调用返回一个 Set-Cookie
header ,然后浏览器将该 cookie 保存在 foo.herokuapp.com
域下。您不会在 ui.example.com
的应用程序选项卡中看到它。不过,当您对 foo.herokuapp.com
进行另一个 XHR 调用时,浏览器将发送您之前设置的 cookie。
您可以做这个实验:登录后,打开一个新选项卡并导航到 https://foo.herokuapp.com
。现在打开“应用程序”选项卡,您应该会在那里看到您的 cookie。
也就是说,请记住,浏览器会将这些 cookie 视为第 3 方 cookie,浏览器 vendor 最终将放弃对第 3 方 cookie 的支持。最终,您应该确保您的前端和后端由同一个父域提供服务。
至于另一个问题 - Heroku 在其网关和您的应用程序之间终止 SSL 不是问题。 cookie 上的 secure
标志是浏览器的信息 - 浏览器不会通过非 SSL 连接接受或发送带有此标志的 cookie。您的浏览器和 heroku 服务器之间的连接是 SSL,因此将接受/发送 cookie。在您的后端,cookie 只是 HTTP header ,后端并不真正关心 cookie 的标志或连接类型。
关于http - 无法通过 Go API 在客户端中设置 cookie,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/70663097/