CORS: credentials mode is 'include'

2017-11-10 00:06:15

XMLHttpRequest cannot load http://localhost/Foo.API/token. The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'. Origin 'http://localhost:5000' is therefore not allowed access. The credentials mode of requests initiated by the XMLHttpRequest is controlled by the withCredentials attribute.

答案

The issue stems from your Angular code:

When withCredentials is set to true, it is trying to send credentials or cookies along with the request. As that means another origin is potentially trying to do authenticated requests, the wildcard ("*") is not permitted as the "Access-Control-Allow-Origin" header.

You would have to explicitely respond with the origin that made the request in the "Access-Control-Allow-Origin" header to make this work.

I would recommend to explicitely whitelist the origins that you want to allow to make authenticated requests, because simply responding with the origin from the request means that any given website can make authenticated calls to your backend if the user happens to have a valid session.

I explain this stuff in this article I wrote a while back.

So you can either set withCredentials to false or implement an origin whitelist and respond to CORS requests with a valid origin whenever credentials are involved


  • 精彩推荐

  • 2019-02-15 10:35:31

    使用ffmpeg转码m3u8并播放

    m3u8是苹果公司开发的一项新型播放格式，这种播放格式支持目前市面的windows、androis、ios设备主流的浏览器，同样的视频文件既可以在flash环境播放，又能在无flash的html5环境播放，它的优势还不止于此，它可以实现多种码率在不同网速下的自动切换，网速好自动切换高清晰度视频，网速慢自动播放低清晰度文件，还可以实现流加密（视频文件本身加密）、分段下载播放、任意时间点拖拽播放、随机视频文件广告插入等等优势，所以公司打算是用m3u8格式作为视频格式。 --------------------- 作者：悠闲咖啡007 来源：CSDN 原文：https://blog.csdn.net/psh18513234633/article/details/79312607 版权声明：本文为博主原创文章，转载请附上博文链接！

  • 2019-02-15 10:36:45

    将MP4转成m3u8

    网上很多垃圾文章推荐segmenter工具，但用的时候，3.5G的ts文件丢了一半的数据，于是想到了ffmpeg转。

  • 2019-02-19 10:01:55

    node下使用open模块在指定浏览器下打开url

    最近在做一个项目的过程中，得到一个远程二维码图片的url，需要扫码登录，每次都是在控制台发url打印出来，再复制粘贴到浏览器的地址栏中打开扫码，整个过程过于繁琐，于是想找一个模块，直接在node下，指定浏览器打开该图片。这样可以省不少事。

  • 2019-02-24 09:47:09

    解决Node.js的命令行输出中文乱码问题（也适用于Electron）

    ​一般我们的js文件都是试用utf8编码保存的，但是中文windows的命令行一般默认使用cp936编码（就是gbk），这样我们用js代码 console.log('中文');输出日志的时候，会发现输出的是乱码。 网上有提供一些解决方案，典型的就是用iconv或iconv-lite，把这些中文字符串先转成gbk再输出。 但是这个方案我试了多次，在win10的命令行下，utf8的字符串是成功转成了gbk字符串了（通过打印Buffer可以见到），但是输出还是乱码。