Les cookies disparaissent après la redirection

Vous devez utiliser l'option withCredentials lors de l'envoi de votre requête ajax à votre http://server.com et votre serveur.com doit avoir le Access-Control-Allow-Credentials défini sur true.

Example code in Angular.JS client
import {RequestOptions, Request, RequestMethod} from '@angular/http';

const options = new RequestOptions({
  method: RequestMethod.Post,
  url: 'https://google.com',
  withCredentials: true
});

Plus d'informations ici: https://developer.mozilla.org/en- US / docs / Web / HTTP / Headers / Access-Control-Allow-Credentials

Example code in Node.JS server:

var cors = require('cors');
var corsOptions = {
    origin: '*',
    credentials: true };

app.use(cors(corsOptions));

Plus d'informations ici: https://angular.io/api/http/RequestOptions

Vérifiez également ceci strong>: https://github.com/angular/angular/issues/24283 - il semble qu'une version particulière d'Angular ait eu des problèmes avec cet indicateur, donc à moins que vous n'utilisiez une version plus à jour, vous peut avoir besoin de définir l'en-tête explicitement.

Le raisonnement est que, à moins que le serveur ne dise explicitement au client "J'accepterai les cookies (définis précédemment sur mon domaine) transmis par un autre domaine " - accepter les cookies serait un problème de sécurité. Plus d'informations ici: https://en.wikipedia.org/wiki/Cross-site_request_forgery

De la spécification Access-Control-Allow-Origin: Pour les demandes sans informations d'identification, la valeur littérale "" peut être spécifiée, sous forme de caractère générique; *

Essayez d'ajouter un domaine spécifique au champ Access-Control-Allow-Origin .

Je pense que vous devriez utiliser un proxy dans une application angulaire angulaire. Pour plus d'informations, consultez ce lien: https: / /github.com/angular/angular-cli/blob/master/docs/documentation/stories/proxy.md

Votre description de ce qui se passe ne semble pas correcte.

• http://server.com/login stocke un cookie "auth" et envoie une instruction de redirection à http://client.com/welcome
• Le cookie "auth" est envoyé à http://client.com/welcome

Ce n'est pas (ou du moins ne devrait pas être) ce qui se passe. Lorsque le navigateur demande http://server.com/login et récupère dans la réponse un Set -Cookie , le cookie est défini et limité au domaine server.com , même si la réponse est une redirection. Si vous voyez le cookie 'auth' envoyé à client.com , c'est un cookie que client.com a précédemment défini.

Quoi qu'il en soit, il semble que ce qui vous tient vraiment à cœur est

• http://client.com/welcome envoie une requête AJAX à http://server.com/data (CORS activé), mais le cookie 'auth' n'est pas envoyé

Il y a plusieurs raisons pour lesquelles cela peut arriver.

• CORS . Vous avez mentionné que CORS était activé, mais pour le bien des autres lisant ceci, vous devez avoir les en-têtes CORS suivants définis sur server.com
  • Contrôle d'accès-Autoriser-Origine: http://client.com
  • Access-Control-Allow-Credentials: true
• Notez que vous ne pouvez pas vous en passer en utilisant un caractère générique pour Access-Control-Allow-Origin lorsque vous envoyez des informations d'identification. Notez également que l'origine doit être une correspondance exacte, y compris le schéma (http ou https). En pratique, ce que font généralement les serveurs est de lire l'en-tête Origin de la requête, de le comparer à une liste blanche et, si cela est autorisé, de copier la valeur d'en-tête Origin de la requête à l'en-tête Access-Control-Allow-Origin dans la réponse.
• Vous devez définir xhr.withCredentials = true dans votre requête XHR. (Voir MDN pour plus de détails.)

Ensuite, après avoir fait tout cela, vous avez un autre obstacle sur votre chemin. Parce que vous êtes sur client.com et que vous essayez d'envoyer un cookie à server.com , le cookie server.com est considéré comme un "troisième- cookie de fête. AFAIK tous les principaux navigateurs ont un paramètre qui bloque les cookies tiers pour la confidentialité, car ils sont le plus souvent utilisés par les trackers pour collecter des données marketing à des fins publicitaires. Je pense que la plupart d'entre eux bloquent les cookies tiers par défaut, mais je n'en suis pas sûr. Bien sûr, de nombreuses personnes ont configuré leur navigateur pour bloquer les cookies tiers.

Vous devez donc dire à vos visiteurs de configurer leur navigateur pour autoriser les cookies tiers de server.com .

BTW, il n'est pas sûr de définir un cookie sur une redirection vers un domaine différent. Bien que cela soit autorisé selon la spécification AFAIK, il y a eu des problèmes avec la prise en charge du navigateur. Voir, par exemple, ce bug Chrome .