John
2020-12-01 10:06:32
服务器端检查
你的设置对我来说很好。
app.use( cors({
credentials: true,
origin: "http://localhost:3000",
}));
我建议使用一些API工具（例如POSTman）测试你的代码，该工具会默认启用CORS请求。如果它与POSTman一起使用，则你的服务器端代码没有问题。
CORS + Cookie的浏览器问题
简而言之，CORS请求不过是到不同域的XMLHttpRequest。https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS
根据以下文档， https：//developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest/withCredentials
此外，此标志还用于指示何时在响应中忽略cookie。默认值为false。来自其他域的XMLHttpRequest不能为自己的域设置cookie值，除非在发出请求之前将withCredentials设置为true。通过将withCredentials设置为true获得的第三方cookie仍将遵循同源策略，因此，请求脚本无法通过document.cookie或从响应标头访问。
除非你启用它，否则浏览器将不会通过CORS request（XMLHttpRequest）接受/传输cookie。
xhr.withCredentials = true;
通过浏览器控制台的示例
//from http://localhost:3000
const xhr = new XMLHttpRequest();
const url = 'http://localhost:4000/get-cookie-url';
xhr.open('GET', url);
xhr.withCredentials = true; // enable browser to transfer cookies
xhr.onload = function(e){
console.log(e)
};
xhr.send();
Cookie转移
为了说明这一点，cookie的传输类似于握手。
双方都需要发起握手。如果一侧（服务器）启动而另一侧（客户端）未启动，则握手不会发生。
当服务器启动Cookie传输时，
//Server response header
//Server will response with "Set-Cookie" header when browser requests
...
Set-Cookie: lirr=xxxx; ...
...
当客户（浏览器）启动Cookie传输时，
//Client request header
//Client will request with "Cookie" header
...
Cookie: lirr=xxxx; ....
...
热门帖子
热门github
1
2
3
5
6
7
8
11
13
14
15
Mamba is a new state space model architecture showing promising performance on information-dense data such as language modeling, where previous subquadratic models fall short of Transformers. It is based on the line of progress on structured state space models, with an efficient hardware-aware design and implementation in the spirit of FlashAttention.
(翻译：Mamba 是一种新的状态空间模型架构，在信息密集型数据（例如语言建模）上显示出良好的性能，而之前的二次模型在 Transformers 方面存在不足。它基于结构化状态空间模型的进展，并本着FlashAttention的精神进行高效的硬件感知设计和实现。)
通过邮递员，我设置了cookie。好主意，谢谢！接下来，您的链接给了我一些寻找“凭证”客户端的提示。从github.com/benawad/how-to-debug-cookies中，我知道了如何在客户端添加“ withCredentials”。如果我添加，则根据需要设置cookie。但是：我看不到标题中的任何区别，即使在预检中也没有。实际的一半解决了，但是理论上我仍然不清楚。
@wk，干得好，很高兴听到您整理了其中的一些内容。为了说明这一点，Cookie传输与握手非常相似。我将用一些详细信息更新上面的帖子。
我想，在阅读了有关CORS的更多信息后，我很清楚：我使用
urql的createClient函数，该函数将JSRequest()用于HTTP请求。并Request具有默认的“ same-origin”credentials。如果我没有将其客户端设置为“ include”，它只会忽略未按原始来源设置的cookie。我假设此信息已包含在标头中，但它们已在客户端进行管理。再次感谢您，您的提示使我找到了解决方案。@wk，太棒了👍，谢谢，您的问题对我来说也很好。自从netscape时代以来，Web浏览器标准已经发生了很大变化。另外，我们的工具/框架在下面也很抽象。因此，有时我们会感到困惑。🤣