Come imposto un cookie (intestazione) con XMLHttpRequest in JavaScript?

Question

Sto tentando di impostare un cookie in una richiesta XSS utilizzando XMLHttpRequest.

Ho trovato XMLHttpRequest Specification e la sezione 4.6.2-5 sembra suggerire che l'impostazione Cookie, Cookie2 e alcune altre intestazioni non sono consentite, ma speravo ci fosse un lavoro in giro.

Il mio codice (jQuery) è inferiore, ma la query risultante non riesce poiché il cookie NON è impostato.

$.ajax({ 
    type : "POST", 
    url : URL, 
    data: SOAP_INBOX_MAIL_QUERY, 
    dataType : "xml", 
    async: false, 
    beforeSend : function(xhr) { 
    var cookie = credentials["COOKIE"]; 
    console.info("adding cookie: "+ cookie);   
    xhr.setRequestHeader('Cookie', cookie); 
    }, 
    success : function(data, textStatus, xmLHttpRequest){ 


    }, 
    error : function(xhr, ajaxOptions, thrownError) { 
    credentials = null; 
    } 
}); 

Answer 1

Questo può essere fatto. È necessario il seguente nella chiamata $ .ajax:

xhrFields: { 
    withCredentials: true 
} 

(Vedere la documentazione jQuery), e avrete anche bisogno di sito che si sta facendo la richiesta di sostenere CORS (saranno almeno necessità di consentire l'origine e anche impostare l'intestazione HTTP Access-Control-Allow-Credentials su true).

Non c'è dubbio che funzioni. Puoi farlo tramite HTTPS, con Basic Auth, ecc. JQuery invierà tutto (l'header auth, cookie) se lo dici a (xhrFields) e il sito fornisce le intestazioni CORS corrette. Non arrenderti!

Answer 2

Per motivi di sicurezza, non sarà possibile modificare l'intestazione durante un XMLHTTPRequest.

Answer 3

Se la richiesta allo stesso dominio come codice jQuery, è possibile utilizzare jQuery cookies plugin

Answer 4

Se si imposta il cookie usando document.cookie poi, quando si invia la richiesta l'intestazione cookie includerlo.

Answer 5

https://developer.mozilla.org/En/Server-Side_Access_Control

si consente origine e anche per impostare l'accesso-Control-Allow-Credenziali HTTP intestazione true