Đặt cookie trong tiêu đề HTTP bị bỏ qua với AngularJS

Question

Tôi đang làm việc trên một ứng dụng dựa trên AngularJS ở phía máy khách và Java cho API của tôi (Tomcat + Jersey cho WS) ở phía máy chủ.

Một số đường dẫn API của tôi bị hạn chế, nếu người dùng không có phiên, trạng thái trả lời là 401. Về phía máy khách, trạng thái 401 http bị chặn để chuyển hướng người dùng đến trang đăng nhập.

Khi người dùng được xác thực, tôi tạo ra một phiên họp về phía máy chủ

httpRequest.getSession(true);

và đáp ứng gửi cho khách hàng không có hướng dẫn Set-cookie trong phần đầu của nó:

 
Set-Cookie:JSESSIONID=XXXXXXXXXXXXXXXXXXXXX; Domain=localhost; Path=/api/; HttpOnly 

Vấn đề là các cookie không bao giờ được đặt ở phía khách hàng. Khi tôi kiểm tra cookie cho miền localhost, nó sẽ trống, vì vậy các yêu cầu tiếp theo không có cookie này trong tiêu đề và phía máy khách của họ vẫn không thể truy cập vào đường dẫn bị hạn chế của API của tôi.

Client và máy chủ đang ở trên cùng một tên miền nhưng họ không có con đường cùng và số cổng tương tự:

Chủ đầu tư: http://localhost:8000/app/index.html

Server: http://localhost:8080/api/restricted/

Thông tin thêm: CORS được bật ở cả hai bên:

"Access-Control-Allow-Methods", "GET, POST, OPTIONS" 
"Access-Control-Allow-Origin", "*" 
"Access-Control-Allow-Credentials", true

Bất kỳ ý tưởng nào để đặt cookie thiết lập hoạt động bình thường? Đây có phải là vấn đề liên quan đến AngularJS không?

Answer 1

Việc bổ sung HttpOnly có nghĩa là trình duyệt không được để plugin và JavaScript xem cookie. Đây là một quy ước gần đây để duyệt bảo mật. Nên được sử dụng cho J_SESSIONID nhưng có thể không được sử dụng ở đây.

Answer 2

Tôi đã tìm thấy issue in AngularJS giúp tôi tiến lên phía trước.

Dường như "Access-Control-Allow-Credentials" : true không được đặt ở phía máy khách. Hướng dẫn $httpProvider.defaults.withCredentials = true bị bỏ qua.

Tôi thay thế $ gọi tài nguyên bằng lệnh $ http đơn giản với {withCredentials: true} trong thông số cấu hình.

Answer 3

Tôi đã cố gắng giải quyết một vấn đề rất giống với vấn đề của bạn. Phát của tôi! backend đã cố gắng để thiết lập một phiên Cookie mà tôi không thể bắt trong Angular hoặc lưu trữ thông qua trình duyệt.

Thực ra giải pháp có liên quan đến một chút điều này và một chút về điều đó.

Giả sử bạn đã giải quyết được vấn đề ban đầu, có thể được giải quyết chỉ bằng cách thêm một miền cụ thể đối với Access-Control-Allow-Origin và loại bỏ các ký tự đại diện, các bước tiếp theo là:

1. bạn cần phải loại bỏ các HTTP-Chỉ từ Set-Cookie tiêu đề, nếu không bạn sẽ không bao giờ có thể nhận được một cookie "tạo ra" theo mã góc của bạn
   thiết lập này sẽ đã làm việc trong Firefox, mặc dù không phải trong Chrome

2. Để làm cho nó hoạt động cho Chrome, bạn cần phải:

   a) gửi tên miền khác từ máy chủ cục bộ trong cookie, sử dụng tên miền mà WS của bạn được "lưu trữ". Bạn thậm chí có thể sử dụng ký tự đại diện như .domain.com thay vì ws.domain.com

   b) sau đó bạn sẽ cần phải thực hiện một cuộc gọi đến lĩnh vực bạn chỉ định trong các tập tin cookie, nếu Chrome sẽ không lưu trữ cookie của bạn

   [tùy chọn] Tôi sẽ loại bỏ /api đường dẫn trong lợi của một /

Và rằng nên để các trick.
Hy vọng có được một số trợ giúp

Answer 4

Bạn cần làm việc trên cả máy chủ và phía máy khách.

Khách hàng

Set $http cấu hình withCredentials để true theo một trong các cách sau:

1. Theo yêu cầu

   var config = {withCredentials: true}; 
   $http.post(url, config); 
   

2. Đối với tất cả các yêu cầu

   angular.module("your_module_name").config(['$httpProvider', 
       function($httpProvider) { 
       $httpProvider.interceptors.push(['$q', 
        function($q) { 
        return { 
         request: function(config) { 
         config.withCredentials = true; 
         return config; 
         } 
        }; 
        } 
       ]); 
       } 
   ]); 
   

server

Đặt tiêu đề phản ứng Access-Control-Allow-Credentials để true.

Answer 5

Trong bài yêu cầu của bạn về phía khách hàng, hãy chắc chắn để thêm những điều sau đây:

Đối với yêu cầu ajax jquery:

$.ajax({ 
 
    url: "http://yoururlgoeshere", 
 
    type: "post", 
 
    data: "somedata", 
 
    xhrFields: { 
 
    withCredentials: true 
 
    } 
 
});

Với http dịch vụ $ kiễu góc của:

$http.post("http://yoururlgoeshere", "somedata", { 
 
    withCredentials: true 
 
});

Answer 6

Chỉ cần giải quyết vấn đề như thế này.

Tôi đã làm điều này và không làm việc ...:

$cookies.put('JSESSIONID', response.data); 

Cookie được lưu trong trình duyệt, nhưng khi tôi gửi một yêu cầu mới, tất cả các cookie được gửi exept tôi. (Cookie của tôi là JSESSIONID)

sau đó tôi nhìn vào thanh tra chrome và tôi thấy điều này:

vấn đề là không phải là con đường đúng !!!

thì tôi đã thử cách này và cookie của tôi đã được gửi. yay! :

$cookies.put('JSESSIONID', response.data, {'path':'/'}); 

Tôi không biết nếu đây là trường hợp của bạn, nhưng điều này làm việc cho tôi.

liên quan!