前端跨域请求（前端跨域请求携带cookie）



在学习整理的知识点的时候想到这个问题,但是看了网上的好几篇文章感觉说的不是很清晰而且不全面,于是我整理总结了这篇文章

通常情况下，浏览器的安全策略（如同源策略，Same-Origin Policy）会阻止 Cookie 跨域共享，以保护用户的隐私和防止跨站攻击。但通过一些特殊手段和配置，可以在特定条件下实现 Cookie 的跨域共享。

1. 设置Cookie的属性

• SameSite 属性控制 Cookie 是否会随着跨站请求一起发送。它的常见值有：
  • Strict：只允许在同源请求时发送 Cookie。
  • Lax：默认值，允许部分跨站请求（如用户点击链接跳转时）发送 Cookie。
  • None：允许所有跨站请求发送 Cookie，但必须配合 属性（即只能在 HTTPS 下生效）。

示例：

注意： 设置 后必须同时设置 ，否则浏览器会拒绝发送。

2. 跨域共享Cookie的几种方案

2.1 使用顶级域名共享

如果两个子域名属于同一个顶级域名（如和），可以通过设置 Cookie 的 属性来实现共享：

• 这样，所有 下的子域名都可以访问这个 Cookie。

2.2 通过服务器代理

一种常见的跨域方案是让前端通过同源服务器代理请求到跨域 API。
比如：

• 前端请求自己域名下的 ，服务器再代理该请求到目标 API 地址。
• 由于浏览器认为请求来自同域，因此不会有跨域限制。

3. CORS + Cookie 跨域

要让跨域请求时带上 Cookie，服务器和客户端都需要进行适当的配置：

客户端：

服务器（跨域 API 的响应头）：

• 不能设置为 ，而必须指定明确的来源。
• 表示允许携带 Cookie。

4. JSONP (已过时)

在早期前端开发中，使用 JSONP 作为跨域方案可以实现跨域共享数据，但它只能用于 GET 请求，目前已不推荐。

5. 风险与安全性

• 尽量使用 HTTPS。
• 设置 HttpOnly 和 Secure 属性，防止 Cookie 被 JavaScript 获取或非安全渠道泄漏。
• 使用 SameSite 控制 Cookie 的跨站行为。

版权声明：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若内容造成侵权、违法违规、事实不符，请将相关资料发送至xkadmin@xkablog.com进行投诉反馈，一经查实，立即处理！

转载请注明出处，原文链接：https://www.xkablog.com/qdkf/37069.html