Выставление Cookie и получение их через Fetch API?

Question

[vıtalıyırtlach]

У меня есть запрос для получение csrf токена, который на сервере выставляеться в заголовок set-cookie он помещаеться но в хранилище не создаеться. Ответ выдает 200. Что делать? Через curl url все headers приходят. Запрос выполняеться с credentials: "include"

Answer 1

[antares4045]

Сегодня браузеры стали черезчур умные и у них есть гигантское количество причин проигнорировать установку кукиса. Скорее всего (в случае браузеров на хромиуме (тоесть не в опере)) в инструментах разработчика в детализации запроса на вкладке HEADERS сразу за хедером респонса будет маленький желтый треугольник, наведя мышь на который вы сможете прочитать, в чём причина на этот раз.

Как то так например


Но в случае csrf, если у вас есть доступ к коду сервера, присоединюсь к рекомндации Надим Закиров, что лучше класть в специальный хедер и обрабатывать его уже джаваскриптом на стороне клиета: за последний год у одного крупного клиента моей фирмы три раза умирали веб приложения для бизнес аналитики купленные за шестизначные суммы из-за обновления политики безопасности хрома, который просто начинал игнорировать кукисы, потому что кого-то так взломали.

Comments

[vıtalıyırtlach]

Так почему же на опубликованном сайте они ставяться а у меня нет?

[antares4045]

vıtalıyırtlach, а что таки желтый треугольник говорит?) или его нет?

[vıtalıyırtlach]

его нет

[vıtalıyırtlach]

они присылаються но не выставляються

[vıtalıyırtlach]

[antares4045]

vıtalıyırtlach, а сделайте скрин вкладки cookies в детализации запроса (наболее интересно, есть ли там в респонсах ваш токен, и какого цвета строчка)

[vıtalıyırtlach]

antares4045, сделал выше

[irishmann]

в случае браузеров на хромиуме (тоесть не в опере))

Опера, к сожалению, теперь тоже на хромиуме

[antares4045]

HttpOnly и Secure насколько я помню, конфликтуют. А браузер я ваш не узнаю -- поставьте гугл хром (ну или яндекс (недавно обнаружил, что он стал местами лучше того, с чего копировали )) для отладки всяких сетевых историй там самый вылизаный интерфейс

[antares4045]

irishmann, да, давно не открывал -- полгода назад у них точно свой движок был. А почему "к сожалению"? Елиный стадарт хорошо -- помню как лет пять назад приходилось чуть ли ни разные версии сайта писать под разные браузеры, а сейчас лепота.

[Lynn «Кофеман»]

antares4045, и полгода назад у неё тоже был хромиум. Может вы её с Firefox путаете?

Который, кстати, у автора на скрине

[antares4045]

Lynn «Кофеман», да, точняк)

Answer 2

[zkrvndm]

Токен нужно отдавать отдельным заголовком, не нужно его в куки помещать.