首頁猿問在發(fā)出 AJAX...

在發(fā)出 AJAX 跨源請(qǐng)求時(shí)，如何防止“與沒有 SameSite 屬性的跨站點(diǎn)資源集關(guān)聯(lián)的 ”

JavaScript

翻翻過去那場(chǎng)雪 2022-12-08 15:46:05

因此，我有兩個(gè)站點(diǎn) http://localhost/ 和 http://3rdPartyLocallyHostedAPI/（不是真實(shí)姓名）- 都是本地 Intranet 站點(diǎn)，并且由于同名的性質(zhì)，必須向它發(fā)出3rdPartyLocallyHostedAPICORSlocalhost請(qǐng)求.這些請(qǐng)求工作正常，數(shù)據(jù)返回或可以3rdPartyLocallyHostedAPI按預(yù)期發(fā)布到，但是顯示此警告：與 http://3rdPartyLocallyHostedAPI/ 上的跨站點(diǎn)資源關(guān)聯(lián)的 cookie 設(shè)置時(shí)沒有該SameSite屬性。SameSite=NoneChrome 的未來版本將僅在設(shè)置了和的情況下為跨站點(diǎn)請(qǐng)求提供 cookie Secure。您可以在應(yīng)用程序>存儲(chǔ)>Cookie 下的開發(fā)人員工具中查看 cookie，并在https://www.chromestatus.com/feature/5088147346030592和https://www.chromestatus.com/feature/5633521622188032查看更多詳細(xì)信息?，F(xiàn)在，我查看了多個(gè)答案，例如這個(gè)，這個(gè)和這個(gè)說明需要在服務(wù)器上設(shè)置 SameSite 屬性的答案，這沒有任何意義，因?yàn)樗褂玫膬蓚€(gè) cookie 有問題 (ss -pid 和 ss-id) 在請(qǐng)求中設(shè)置，沒有在響應(yīng)中返回？這讓我感到困惑，因?yàn)槲也恢廊绾位蛟诤翁庍M(jìn)行更改以確保將這些 cookie 上的 SameSite 策略設(shè)置為none或secure。我認(rèn)為是執(zhí)行 AJAX 請(qǐng)求的 jQuery 出了問題：// trimType and queryValue are determined elsewhere by some jQuery selections, their values are not important to the question being asked.$.ajax({ url: 'http://3rdPartyLocallyHostedAPI?q=' + trimType + '?q=' + queryValue + '&resultsOnly=true', data: { properties: (trimType === 'Record') ? 'Title,Number,RecordRecordType' : 'NameString' }, xhrFields: { withCredentials: true }, dataType: 'json'}).done(function (data) { if (data.Results.length > 0) { $resultsPane.html(''); for (var i = 0; i < data.Results.length; i++) { // Not relevant to the question being asked so removed, only some jQuery in here to display results on page. } } else { $resultsPane.html('<p class="py-1 pl-1 list-group-item text-muted">No Results found.</p>'); }}).fail(function () { $resultsPane.html('<p class="py-1 pl-1 list-group-item text-muted">No Results found.</p>');});

查看完整描述

1 回答

哈士奇WWW

TA貢獻(xiàn)1799條經(jīng)驗(yàn) 獲得超6個(gè)贊

好吧，我想我已經(jīng)做了足夠的研究來弄清楚我面臨的問題，所以我會(huì)回答我自己的問題。

因此，真正幫助我真正理解 SameSite 是關(guān)于什么的一頁是這一頁，所以對(duì)于任何對(duì) SameSite 有疑問的人，請(qǐng)閱讀一下，以便您了解其背后的原因及其工作原理。

閱讀了一些文章并看到了對(duì)另一篇文章的回答，這幫助我把這些點(diǎn)聯(lián)系起來。我將我正在處理的網(wǎng)站部署到實(shí)際的網(wǎng)絡(luò)服務(wù)器上，發(fā)現(xiàn)以下是響應(yīng)標(biāo)頭：

HTTP/1.1 200 OK

Cache-Control: private,no-cache

Content-Type: application/json; charset=utf-8

Vary: Accept

Server: Microsoft-IIS/10.0

X-Content-Type-Options: nosniff

X-Powered-By: ServiceStack/4.512 NET45 Win32NT/.NET

X-AspNet-Version: 4.0.30319

Set-Cookie: ss-pid=0QyVIKf4edkAKd2h4be5; expires=Fri, 27-Jul-2040 09:58:39 GMT; path=/; HttpOnly

Set-Cookie: ss-id=fmM1WQsDxXGfR8q9GL6e; path=/; HttpOnly

Access-Control-Allow-Origin: http://server

Access-Control-Allow-Credentials: true

Access-Control-Allow-Methods: POST,GET,OPTIONS

Access-Control-Allow-Headers: Content-Type, Authorization

Persistent-Auth: true

WWW-Authenticate: Negotiate oYG2MIGzoAMKAQChCwYJKoZIgvcSAQICooGeBIGbYIGYBgkqhkiG9xIBAgICAG+BiDCBhaADAgEFoQMCAQ+ieTB3oAMCARKicARusah2q1K2ACHwoq1n6DCNq5rx/HFdbK5sU9EohnxrRSpzmelskTTa9xmW8wgeUdwRNQCqMsD/dZ/pUjhdl2CVWjmFZZAfnKl6JEker+s79E9uFXThZZKnqfpqEgSvvqSYpp1KMkaYBYd1uf5mRyE=

Date: Mon, 27 Jul 2020 09:58:40 GMT

Content-Length: 1597

Set-Cookie服務(wù)器發(fā)出兩個(gè)標(biāo)頭來存儲(chǔ)ss-id和的值ss-pid。這些 cookie顯然代表 permanant session ID 和 session ID，并且由 ASP.NET 發(fā)布用于跟蹤會(huì)話。瀏覽器不接受和設(shè)置這兩個(gè) cookie，因?yàn)樗鼈內(nèi)鄙賁ameSite=none設(shè)置和Secure設(shè)置 - 這些是我在上面的帖子中提到的兩個(gè) cookie。

因此，要解決此問題，首先我需要切換到對(duì) API（可能還有網(wǎng)站本身）使用 https - 我已經(jīng)完成了，并以某種方式弄清楚如何讓第 3 方 API 在其會(huì)話中設(shè)置 SameSite 屬性相關(guān)的 cookie。

因此，對(duì)于希望完全控制您的 API 等的其他人，只要您在響應(yīng)中創(chuàng)建/發(fā)送 cookie 時(shí)，您就應(yīng)該能夠設(shè)置這些屬性，因此通過設(shè)置和將 cookie 從站點(diǎn)發(fā)送到其他SameSite=None域Secure。

反對(duì) 回復(fù) 2022-12-08