Passport.js – 浏览器GET请求是好的,但来自JS代码的AJAX请求不是?

我已经在Node.js服务器上configuration了Passport,并主要使用Twitter身份validation策略。

我最近发现一个似乎表明使用浏览器URL(使用Web浏览器search栏)的GET请求似乎与来自应用程序代码内部的AJAX请求不同的身份validation,这让我感到困惑。 例如,如果我使用Passportlogin,则可以通过将浏览器指向直接向后端服务器发送请求的某些URL来访问所有内容。 但是,Angular或jQuery对后端API的任何请求似乎都是未经授权的。

这可能是完全正确的吗? 如果是这样,Passport如何知道浏览器请求和JS代码中的AJAX请求之间的区别?

       

网上收集的解决方案 "Passport.js – 浏览器GET请求是好的,但来自JS代码的AJAX请求不是?"

默认情况下,跨源XHR请求不会包含Cookie(通常用于维护需要身份validation的应用程序中的状态)。

您可以通过使用Credentials进行设置来更改:

var xhr = new XMLHttpRequest(); xhr.open(...); xhr.withCredentials = true; 

您可能需要调整服务器上的CORS规则,以表示Access-Control-Allow-Credentials: true

另见MDN 。

Twitterauthentication策略要求用户login到Twitter,并允许您的“应用”权限访问您的Twitter帐户信息。 这不能用XHR来完成,因为如果用户尚未login,用户如何input他们的Twitter凭证loginTwitter呢? 如果请求是通过XHR发送的,用户将如何批准您的Twitter“应用程序”请求的权限?

这适用于所有使用OAuth或OpenID的Passport策略。 用户的浏览器必须直接进入auth提供商的网站,以便他们可以:A)login到auth提供商或B)批准您在您的应用程序中请求的权限。 一旦用户完成了validation提供程序(在您的情况下,Twitter),然后将用户的浏览器redirect到您的应用程序的端点与某种forms的令牌,然后您的应用程序将用于从validation提供程序请求信息(如电子邮件地址,全名等)