Wie setze ich einen Cookie (Header) mit XMLHttpRequest in JavaScript?

Question

Ich versuche, ein Cookie in einer XSS-Anfrage mit XMLHttpRequest zu setzen.

Ich fand die XMLHttpRequest Specification, und Abschnitt 4.6.2-5 scheint darauf hinzuweisen, dass die Einstellung Cookie, Cookie2 und einige andere Header nicht erlaubt sind, aber ich hatte gehofft, dass es eine Arbeit gab.

Mein (jQuery) Code ist unten, aber die resultierende Abfrage schlägt fehl, da der Cookie NICHT gesetzt ist.

$.ajax({ 
    type : "POST", 
    url : URL, 
    data: SOAP_INBOX_MAIL_QUERY, 
    dataType : "xml", 
    async: false, 
    beforeSend : function(xhr) { 
    var cookie = credentials["COOKIE"]; 
    console.info("adding cookie: "+ cookie);   
    xhr.setRequestHeader('Cookie', cookie); 
    }, 
    success : function(data, textStatus, xmLHttpRequest){ 


    }, 
    error : function(xhr, ajaxOptions, thrownError) { 
    credentials = null; 
    } 
}); 

Answer 1

Dies kann getan werden. Sie müssen die folgenden in der $ Schnipsel Aufruf:

xhrFields: { 
    withCredentials: true 
} 

(Siehe jQuery docs), und Sie müssen auch die Website, die Sie die Anforderung stellen, CORS zu unterstützen (sie werden zumindest Notwendigkeit, Erlaube dir die Herkunft und setze auch den Access-Control-Allow-Credentials HTTP-Header auf true).

Es ist keine Frage, es funktioniert. Sie können dies über HTTPS, mit Basic Auth, etc. tun. JQuery sendet alles (den Auth-Header, Cookies), wenn Sie es an (xhrFields) mitteilen und die Site die richtigen CORS-Header bereitstellt. Gib nicht auf!

Answer 2

Aus Sicherheitsgründen können Sie die Kopfzeile während einer XMLHTTPRequest nicht ändern.

Answer 3

Wenn Ihre Anfrage an der gleichen Domäne wie jQuery-Code, können Sie jquery cookies plugin

Answer 4

verwenden Wenn Sie das Cookie mit document.cookie dann festgelegt, wenn Sie die Anforderung der Cookie-Header wird es gehören senden.

Answer 5

https://developer.mozilla.org/En/Server-Side_Access_Control

ermöglicht es Ihnen, Herkunft und auch die Access-Control-Allow-Credentials HTTP zu setzen Header auf true