security - js 客户端应用程序中的 HttpOnly cookie、ajax 请求和服务器端安全性

Question

我有一个 js 客户端应用程序，它使用仅 http 的 cookie 来存储当前经过身份验证的用户的凭据。应用程序使用 cookie 中的数据来执行每个请求的身份验证。

但是，应用程序确实会发出不包含 cookie 的 ajax 请求。当服务器来处理这些请求时，它认为它没有cookie，因此没有经过身份验证的用户并执行重定向到登录页面。尽管如此，cookie 仍然存在，并且所有标准的 http 请求都按预期工作。

这个问题有什么简单的解决方法吗？在这种情况下，推荐的做法是什么？

Answer 1

该问题是由于zepto正在使用的库引起的，该库具有不传递 cookie 的特殊问题（库的一些已知问题）。当使用 jQuery 时，一切都按预期工作。