CORS - Jquery ajaxの "withCredentials：true"が使用されたかどうかをサーバーがどのように知ることができますか？

Question

私はフレームワークでCORS（クロスオリジンリソース共有）を実装しています。

私はXMLHttpRequestのリクエストがjQueryのajax(...)を使用して作られたとwithCredentialsプロパティがtrueでいるとき、サーバはこれら二つ応答しなければならないことを知っている：サーバー

• Access-Control-Allow-Credentials: true
• Access-Control-Allow-Origin:[THE_DOMAIN]

をワイルドカードを使用したの応答はありませんAccess-Control-Allow-Origin:*：そのdoesn't work！

私の質問：サーバー上で、withCredentials: trueが使用されていることをどのように知っているので、私はワイルドカードを使用しませんか？

withCredentials: falseを使用したときとwithCredentials: trueを使用したときに送信されたヘッダーを比較しました。これらは同じです！

クライアントが要求したときに資格情報を許可したい場合は、を入力してください。Access-Control-Allow-Origin:*を使用しますか？

Answer 1

クライアントが要求したときに資格情報を許可したいのであれば、Access Control-Allow-Originを使用することはできません。

はい。

Access-Control-Allow-Origin:*のポイントは、ほとんどすべてのウェブサイトにアクセスを許可するということです。 「このデータは公開されており、誰でもアクセスできます」と言うことができます。

リソースにアクセスするための資格情報が必要な場合は、「このデータは公開されており、誰でもアクセスできます」とは意味がありません。

すべてのウェブサイトへのアクセスを許可すると、あなたのサイトにログインした誰かが訪問したすべてのウェブサイトがそのデータを読むことができます（効果的に公開します）。

したがって、データへのアクセスが許可されている信頼済みサイトのホワイトリストを用意して、明示的にアクセスを許可する前にOriginヘッダーを確認する必要があります。