AngularJS将忽略HTTP标头中的Set-Cookie

我正在基于客户端的AngularJS和基于Java的服务器的Java（Tomcat + WS的Jersey）开发应用程序。

我的API的某些路径受到限制，如果用户没有会话，则返回的响应状态为401。在客户端，将拦截401 http状态以将用户重定向到登录页面。

用户通过身份验证后，我将在服务器端创建一个会话

httpRequest.getSession（true）;

Set-Cookie：JSESSIONID = XXXXXXXXXXXXXXXXXXXXX; 域=本地主机; 路径= / api /; HttpOnly

问题是cookie永远不会放在客户端。当我检查本地域的cookie时，它为空，因此下一个请求的标头中没有此cookie，并且客户端仍然无法访问我的API的受限路径。

客户端和服务器位于同一个域中，但是它们没有相同的路径和端口号：

客户： http://localhost:8000/app/index.html

服务器： http://localhost:8080/api/restricted/

附加信息：双方都启用了CORS：

“访问控制允许方法”，“获取，发布，选项”
“访问控制允许来源”，“ *”
“访问控制允许凭据”，true

有任何使Set-cookie正常工作的想法吗？这是与AngularJS相关的问题吗？

我在AngularJS中发现了一个问题，可以帮助我继续前进。

似乎"Access-Control-Allow-Credentials" : true没有在客户端设置。指令$httpProvider.defaults.withCredentials = true 被忽略。

我用config参数中的{withCredentials：true}用一个简单的$ http调用替换$ resource调用。

我设法解决了一个与您非常相似的问题。我的玩！后端试图设置一个会话Cookie，我无法在Angular中捕获它，也无法通过浏览器存储它。

实际上，解决方案涉及到这一点。

假设您已经解决了最初的问题，那么只能通过将特定域添加到Access-Control-Allow-Origin并删除通配符来解决此问题，接下来的步骤是：

1. 您必须从Set-Cookie标头中删除仅HTTP ，否则您将永远无法收到由角度代码“生成”的cookie。
   此设置已在Firefox中运行，但在Chrome中不起作用

2. 要使其也适用于Chrome，您需要：

   a）使用WS被“托管”的域，从cookie中的localhost发送一个不同的域。您甚至可以使用通配符（例如）.domain.com代替ws.domain.com

   b）那么您需要致电您在Cookie中指定的域，否则Chrome不会存储您的Cookie

   [可选]我会删除该/api路径，而采用/

那应该是把戏。
希望能有所帮助

在客户端的发帖请求中，请确保添加以下内容：

对于jquery ajax请求：

$.ajax({
  url: "http://yoururlgoeshere",
  type: "post",
  data: "somedata",
  xhrFields: {
    withCredentials: true
  }
});

使用Angular的$ http服务：

$http.post("http://yoururlgoeshere", "somedata", {
  withCredentials: true
});

您需要在服务器端和客户端上工作。

客户

通过以下方式之一将$httpconfig设置withCredentials为true：

1. 根据要求

   var config = {withCredentials: true};
   $http.post(url, config);
   

2. 对于所有要求

   angular.module("your_module_name").config(['$httpProvider',
     function($httpProvider) {
       $httpProvider.interceptors.push(['$q',
         function($q) {
           return {
             request: function(config) {
               config.withCredentials = true;
               return config;
             }
           };
         }
       ]);
     }
   ]);
   

服务器

将响应标头设置Access-Control-Allow-Credentials为true。

HttpOnly的添加意味着浏览器不应让插件和JavaScript看到cookie。这是最近的安全浏览惯例。应该用于J_SESSIONID，但可能不在这里。

刚刚解决了这样的问题。

我正在这样做，但不起作用...：

  $cookies.put('JSESSIONID', response.data);

Cookies被保存在浏览器中，但是当我发送新请求时，所有cookie都是我的。（我的cookie是JSESSIONID）

然后我看了看铬检查器，发现了这一点：

问题不是正确的途径！！！

然后我尝试了此操作，并发送了我的cookie。好极了！：

$cookies.put('JSESSIONID', response.data, {'path':'/'});

我不知道这是否是您的情况，但这对我有用。

问候！