Как сделать передачу куки с субдомена на php?

Question

[Abdulla Timershin]

Есть веб приложение на домене example.com
Есть PHP REST API на домене api.example.com

При POST запросе с example.com на api.example.com/signin
api.example.com/signin возвращает set-cookie token, но почему-то не сохраняет его в браузере и соответсвенно не отправляет с последующими запросами


Если отправлять с api.example.com на api.example.com/signin то все работает

api.example.com/signin примерно такой

if (isset($_COOKIE['token'])) {
 .....
} else {
......
setcookie("token", $new_token, $expr_time,' /', '.example.com', false, false);
}

Что можно сделать на бэке? Может каких-то заголовков не хватает?

Answer 1

[Abdulla Timershin]

Решил проблему добавлением withCredentials: true в заголовки каждого запроса на стороне веб приложения.
с axios выглядит так

axios.post(API_SERVER + '/login', { email, password }, { withCredentials: true })

и

axios.get(API_SERVER + '/todos', { withCredentials: true })

Answer 2

[Илья]

У куки нужны атрибуты SameSite=none и Secure (он не работает без https)

https://developer.mozilla.org/en-US/docs/Web/HTTP/...

UPD: Если есть возможность, лучше отказаться от хранения токена в куке в пользу JWT, например.

Comments

[Abdulla Timershin]

[Abdulla Timershin]

Все равно не хочет сохранять
Куки пустые в Application

[Abdulla Timershin]

Какие еще могут быть варинаты?

[Илья]

Abdulla Timershin, https для домена апи точно работает? Смотрите в консоли браузера, ошибки какие-то есть?

[Abdulla Timershin]

Илья, спасибо за отклик
Решил проблему добавлением withCredentials: true в заголовки каждого запроса на стороне веб приложения.
с axios выглядит так

axios.post(API_SERVER + '/login', { email, password }, { withCredentials: true })

и

axios.get(API_SERVER + '/todos', { withCredentials: true })

[Илья]

Abdulla Timershin, ага, точняк, забыл совсем