cookie在多域名下的跨域解決辦法

項(xiàng)目背景

創(chuàng)新互聯(lián)專注為客戶提供全方位的互聯(lián)網(wǎng)綜合服務(wù)，包含不限于網(wǎng)站設(shè)計(jì)制作、網(wǎng)站設(shè)計(jì)、海曙網(wǎng)絡(luò)推廣、小程序定制開(kāi)發(fā)、海曙網(wǎng)絡(luò)營(yíng)銷、海曙企業(yè)策劃、海曙品牌公關(guān)、搜索引擎seo、人物專訪、企業(yè)宣傳片、企業(yè)代運(yùn)營(yíng)等，從售前售中售后，我們都將竭誠(chéng)為您服務(wù)，您的肯定，是我們最大的嘉獎(jiǎng)；創(chuàng)新互聯(lián)為所有大學(xué)生創(chuàng)業(yè)者提供海曙建站搭建服務(wù)，24小時(shí)服務(wù)熱線：18982081108，官方網(wǎng)址：www.cdcxhl.com

用戶登錄成功后，服務(wù)端生成token，并保存在cookie里。http的cookie機(jī)制解決了http請(qǐng)求的無(wú)狀態(tài)，短連接的特性，前端后續(xù)的請(qǐng)求都不需要傳token或密碼，就可以實(shí)現(xiàn)權(quán)限的認(rèn)證。

但是方便的同時(shí)，跨域和同源的問(wèn)題隨之而來(lái)。

不是同源，cookie是不能讀寫的。（這里的同源是指相同的協(xié)議，主機(jī)，端口；只要其中任何一項(xiàng)不相等，就不是同源。）（三散明級(jí)域名abc.xx點(diǎn)抗 與 二級(jí)域名 xx點(diǎn)抗 是同源嗎？）

下面以幾組圖來(lái)表示：

1、前后端分離的正常訪問(wèn)模式

后端cors配置相應(yīng)前端的域名，允許跨域訪問(wèn)。后端的域名是meng.abc點(diǎn)抗 ,前端的域名是m.abc點(diǎn)抗 。因?yàn)槭峭?，cookie讀寫正常。

2、多個(gè)前端域名，訪問(wèn)同一個(gè)后端服務(wù)的情況

現(xiàn)在增加了兩個(gè)前端域名，m.51點(diǎn)抗 , m.xx點(diǎn)抗 。如下圖所示，即使配置跨域的域名，但是也解決不了cookie讀寫的同源問(wèn)題?。?/p>

3、多個(gè)前端域名，分別訪問(wèn)多個(gè)后端服務(wù)的情況

因?yàn)橥吹奶匦?，需要針?duì)瞎備每個(gè)前端域名，分別對(duì)應(yīng)一個(gè)后端域名。如下圖所示，解決cookie的同源正常讀寫問(wèn)題。

備注：這里就不詳細(xì)講解跨域的解決方案。上述，只要是前后端分離，都需要配置跨磨掘毀域的cors的二級(jí)域名。

spring.domain=abc點(diǎn)抗 ;51點(diǎn)抗 ;xx點(diǎn)抗

spring.corsOrigins= ;

后期可能優(yōu)化的地方：把token存儲(chǔ)在localstorage等地方，通過(guò)http header 傳遞到服務(wù)器驗(yàn)證，不要使用http cookie機(jī)制，好處既能避開(kāi)crsf跨站攻擊，又能解決同源的跨域問(wèn)題。