我有同样的问题，做一些检查我的脚本只是没有得到sessionid cookie。

通过查看浏览器中的sessionid cookie值，我发现我的框架(Django)将sessionid cookie以HttpOnly作为默认值传递。这意味着脚本不能访问sessionid值，因此不能将它与请求一起传递。有点荒谬的是，HttpOnly将是默认值，而很多东西都使用Ajax，这将需要访问限制。

为了解决这个问题，我改变了一个设置(SESSION_COOKIE_HTTPONLY=False)，但在其他情况下，它可能是cookie路径上的“HttpOnly”标志

如果您正在localhost或localhost上的端口(如localhost:8080)上进行开发，除了上面回答中描述的步骤外，还需要确保您没有在Set-Cookie报头中传递域值。 您不能在set - cookie报头中将域设置为localhost -这是不正确的-只需省略域即可。

查看cookie在本地主机与显式域和为什么asp.net不会在本地主机创建cookie ?

AJAX调用仅在您调用的url与调用脚本在同一域中时发送cookie。

这可能是一个跨域问题。

也许你试图从www.domain-a.com调用一个url，而你的调用脚本在www.domain-b.com上(换句话说:你进行了跨域调用，在这种情况下浏览器不会发送任何cookie来保护你的隐私)。

在这种情况下，你的选择是:

Write a small proxy which resides on domain-b and forwards your requests to domain-a. Your browser will allow you to call the proxy because it's on the same server as the calling script.This proxy then can be configured by you to accept a cookie name and value parameter which it can send to domain-a. But for this to work you need to know the cookie's name and value your server on domain-a wants for authentication. If you're fetching JSON objects try to use a JSONP request instead. jQuery supports these. But you need to alter your service on domain-a so that it returns valid JSONP responds.

如果这能帮到你就好了。

我在跨域场景下操作。在登录期间，远程服务器返回set - cookie报头，并将Access-Control-Allow-Credentials设置为true。

下一次对远程服务器的ajax调用应该使用这个cookie。

CORS的Access-Control-Allow-Credentials允许跨域日志记录。查看https://developer.mozilla.org/En/HTTP_access_control获取示例。

对我来说，这似乎是JQuery的一个bug(或者至少是下一个版本的新特性)。

更新:

cookie不会从AJAX响应中自动设置(引用:http://aleembawany.com/2006/11/14/anatomy-of-a-well-designed-ajax-login-experience/) 为什么? 您无法从响应中获取cookie的值以手动设置(http://www.w3.org/TR/XMLHttpRequest/#dom-xmlhttprequest-getresponseheader) 我困惑. . 应该有一种方法可以让jquery.ajax()设置XMLHttpRequest。withCredentials = "true"参数。

答: 您应该使用http://api.jquery.com/jQuery.ajax/的xhrFields参数

文档中的示例如下:

$.ajax({
   url: a_cross_domain_url,
   xhrFields: {
      withCredentials: true
   }
});

服务器正确地响应这个请求也很重要。这里复制来自@Frédéric和@Pebbl的精彩评论:

重要提示:当响应一个已验证的请求时，服务器必须指定一个域，并且不能使用通配符。如果头部是通配符，上面的例子将失败:Access-Control-Allow-Origin: *

所以当请求是:

Origin: http://foo.example
Cookie: pageAccess=2

服务器应响应:

Access-Control-Allow-Origin: http://foo.example
Access-Control-Allow-Credentials: true

[payload]

否则有效负载将不会返回到脚本。见:https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS Requests_with_credentials

我有同样的问题，做一些检查我的脚本只是没有得到sessionid cookie。

通过查看浏览器中的sessionid cookie值，我发现我的框架(Django)将sessionid cookie以HttpOnly作为默认值传递。这意味着脚本不能访问sessionid值，因此不能将它与请求一起传递。有点荒谬的是，HttpOnly将是默认值，而很多东西都使用Ajax，这将需要访问限制。

为了解决这个问题，我改变了一个设置(SESSION_COOKIE_HTTPONLY=False)，但在其他情况下，它可能是cookie路径上的“HttpOnly”标志

使用

xhrFields: { withCredentials:true }

作为我的jQuery ajax调用的一部分只是解决方案的一部分。我还需要有从我的资源的选项响应返回的头:

Access-Control-Allow-Origin : http://www.wombling.com
Access-Control-Allow-Credentials : true

重要的是，OPTIONS调用的响应头中只有一个允许的“origin”，而不是“*”。我通过从请求中读取源并将其填充回响应来实现这一点——可能绕过了限制的最初原因，但在我的用例中，安全性并不是最重要的。

我认为有必要明确地提到只有一个源的要求，因为W3C标准允许空格分隔列表，但Chrome不允许! http://www.w3.org/TR/cors/#access-control-allow-origin-response-header 注意“在实践中”的部分。