Почему не приходит заголовок Set-Cookie?

Question

[QFCFC]

Есть два приложения: клиент и сервер. Оба лежат на разных доменах (в моём случае - на разных портах).
Клиент (JavaScript-приложение), используя axios, делает следующий запрос:

axios.get(API.getUserData(), {withCredentials: true}).then(response => {
    if (response.status === 200) {
        console.log('Получены данные пользователя: ' + response.data);
    }
}).catch(exception => {
    console.log('Ошибка доступа к серверу');
    console.log('Детали ошибки: ' + exception.toString());
});

Запрос идёт на другой домен, напоминаю.

Сервер (Tomcat, java-приложение) делает ответ следующим образом:

//начало метода
response.addHeader(HttpHeaders.ACCESS_CONTROL_ALLOW_ORIGIN, "http://localhost:2323"); //Адрес клиента
response.addHeader(HttpHeaders.ACCESS_CONTROL_ALLOW_CREDENTIALS, "true");
response.addHeader(HttpHeaders.ACCESS_CONTROL_ALLOW_METHODS, "GET");
response.addHeader(HttpHeaders.SET_COOKIE, "token=" + getStringToken());
response.setStatus(200);
//установка тела ответа и возврат результата

В итоге кроссдоменный запрос проходит, клиент получает всю необходимую информацию в теле ответа и все заголовки, кроме Set-Cookie. В чём может быть проблема?

Answer 1

[Владимир Скибин]

Access-Control-Allow-Headers: ...Set-Cookie...
Где это у Вас?

Comments

[QFCFC]

Добавил, запустил - всё по-прежнему. Это не решило проблему, Set-Cookie не появился

Answer 2

[Lynn «Кофеман»]

Он приходит, но к нему нельзя получить доступ из JS, т.к. заголовок Set-Cookie входит в список запрещённых.

https://developer.mozilla.org/en-US/docs/Web/API/H...

For security reasons, some headers can only be controlled by the user agent. These headers include the forbidden header names and forbidden response header names.

https://developer.mozilla.org/en-US/docs/Glossary/...

Comments

[ivandao]

Какой выход-то?

[Lynn «Кофеман»]

ivandao, посылать токен в другом заголовке или в теле ответа.

[ivandao]

Алексей Тен, так я хочу чтобы браузер мне назад все это возвращал.
Какой вообще смысл в этих куках, если они нихрена не работают

[Lynn «Кофеман»]

ivandao, тогда я не понимаю зачем вы пытаетесь их читать?
Браузер их сам отлично прочитает и будет отправлять когда надо куда надо.

[ivandao]

Алексей Тен, я работаю с серевером и клиентом.
В том то и дело, что в моем случае серверу куки не возвращаются.
А случай у меня такой же как у топикстартера.

[Lynn «Кофеман»]

ivandao, значит ты что-то делаешь неправильно. Например подпадаешь под ограничения на third-party cookies.

Задай новый вопрос со всеми релевантными данными и кодом, хватит тут оффтопить.