XMLHttpRequest.withCredentials

最新推荐文章于 2025-03-06 19:03:19 发布

雾里看花叹朦胧

最新推荐文章于 2025-03-06 19:03:19 发布

阅读量3.4k

点赞数

分类专栏： javascript 文章标签： Access-Control-Allow-Credentials ajax 跨域请求 withCredentials XMLHttpRequest

本文链接：https://blog.youkuaiyun.com/hsl0530hsl/article/details/88425932

版权

javascript 专栏收录该内容

55 篇文章

订阅专栏

XMLHttpRequest.withCredentials属性用于控制跨域请求是否携带Cookie。默认为false，不携带，设为true则在跨域请求中发送Cookie。但要使此属性生效，服务器需在响应头中设置Access-Control-Allow-Credentials。即使withCredentials打开，也无法通过脚本读取跨域Cookie。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

XMLHttpRequest.withCredentials属性是一个布尔值，表示跨域请求时，用户信息（比如 Cookie 和认证的 HTTP 头信息）是否会包含在请求之中，默认为false，即向 example.com 发出跨域请求时，不会发送 example.com 设置在本机上的 Cookie（如果有的话）。

如果需要跨域 AJAX 请求发送 Cookie，需要withCredentials属性设为true。注意，同源的请求不需要设置这个属性。

var xhr = new XMLHttpRequest();
xhr.open('GET', 'http://example.com/', true);
xhr.withCredentials = true;
xhr.send(null);

为了让这个属性生效，服务器必须显式返回Access-Control-Allow-Credentials这个头信息。

Access-Control-Allow-Credentials: true

withCredentials属性打开的话，跨域请求不仅会发送 Cookie，还会设置远程主机指定的 Cookie。反之也成立，如果withCredentials属性没有打开，那么跨域的 AJAX 请求即使明确要求浏览器设置 Cookie，浏览器也会忽略。

注意，脚本总是遵守同源政策，无法从document.cookie或者 HTTP 回应的头信息之中，读取跨域的 Cookie，withCredentials属性不影响这一点。