クロスドメインリクエストのCookie

Question

domain.comでホストされているウェブアプリケーションがあり、登録フォームがあります。

ユーザーは登録がウェブアプリはapp.domain.com上でホストされているAPIをコール形成が完了します。

APIがPOSTリクエストでは、JavaScriptのXmlHttpRequestのを使用して呼び出され、応答は、Set-Cookieヘッダを含みます。

は、しかし、私はクッキーが存在であるAPI要求で受信しapp.domain.comのために本クッキーを検査するとき。

私は、ブラウザが自動的にクッキーを扱うだろうと思ったとapp.domain.comへの要求は、Set-Cookieのブラウザはapp.domain.comへの後続のすべてのリクエストでクッキーが含まれるヘッダを返すからです。

API要求：

Request URL:https://app.domain.com/api/account/subscribe 
Request Method:POST 

APIレスポンス

Set-Cookie:.AspNet.ExternalBearer=DlOvLGlPLlMWO4mXUcH9ieWNSTpRZ80hhWEKXrFUN-BOfwUsVu4x4qNXizpvdRWA4eIyijsmQARICLPOC-spzXjEVzz-WvO2ZsnSR30kM65dpkALqCUn2OgU2Zqc-fF5mESeYCEDeBCbHuSedCNqWfCIUX3mbeoI3vMu1086YwsinlnUkGe4gC9Ggk44N0PPuoh3J1xl85zUVhd9AsoaUspPzX2zlzkPmJMyb3shx9VlE8dx0ePQLuQhbHfnQdt8L5I5W9NK8uM3lJtHWKvR5lszd7AyuMDmX1N_MA7fGRAHCsW8FcCCvzeM9oH3c5zZU0uLKQKT5NZF8QyUdDGq6H6U5dPhm5FLTmsCw3qfLGXvIbO8uu-9p__VdEmvgr60D78uWrg6K-akNYNQDHVWvNyVdOYwM8N2H3l0hiTV8GveiZV-WpI4VSGFoOr821H8PRj1eC6UT6GiTFeksp7JmFLKuVLx8YY6uLcQYldQQUKDnvSiteZbwVg-DSYnGW9FdN3t9AdbUaW3mjFTCz_of5utAO9Fl8TFS02GucZLMCFEfxBkHh9qcmWUMrauWOLl59huTAFYDoCGG9pi06Hvm7ggF3H4oP-fXyFe85AsRC4; domain=app.domain.com; path=/; secure; HttpOnly 

クッキーは何が不足しているか、そう

をapp.domain.comするために、後続の要求に含まれていませんか？

ありがとうございます！

Answer 1

あなたは、クロスドメイン要求を行うときに正しく動作するためにクッキーのためのwithCredentialsフラグを設定する必要があります。

https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest/withCredentials：

また、このフラグはまた、クッキーは、応答で無視されるべきであるときを示すために使用されます。

Answer 2

ドメインをCookieに明示的に設定する必要があります。

Set-Cookie: name=value; domain=domain.com

詳細はゴーhere。