jQuery getJSON n'envoie pas de cookies

Vous devez mettre en œuvre correctement la SCRO demandes avec des informations d'identification d'envoyer et de recevoir des cookies via Ajax. Voir developer.mozilla.orgplus précisément dans la section intitulée "Demandes avec des informations d'identification."

Tout d'abord, voici un exemple simple de la SCRO requête Ajax avec des informations d'identification, à l'aide de jQuery 1.5.1+:

$.ajax({
    url: "http://www.domain2.com/process",
    xhrFields: {
        withCredentials: true
    }
}).done(function (data) { console.log(data); });

Note le withCredentials drapeau dans le xhrFields. Ce drapeau indique au navigateur d'envoyer des cookies à la demande de la externe domaine, pas le origine domaine. Dans votre cas, les cookies pour http://www.domain2.com sera envoyé, et vous aurez accès à leur côté serveur.

Sur le côté serveur, vous devez ajouter les en-têtes de la réponse:

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: www.domain1.com

Important: demandes avec des informations d'identification ne peut pas définir la Access-Control-Allow-Origin en-tête global (Access-Control-Allow-Origin: *). Elle doit préciser les domaines (Access-Control-Allow-Origin: www.domain1.com).

C'est évidemment mieux si vous spécifiez un domaine pour la Access-Control-Allow-Origin en-tête. Mais si vous ne savez pas ou de soins où les CORS demande, vous pouvez utiliser le Origin en-tête de la demande et de définir simplement la Access-Control-Allow-Origin en-tête de votre réponse. En C#, c'est la façon dont nous l'avons fait:

this.Response.AddHeader("Access-Control-Allow-Origin", this.Request.Headers["Origin"]);

Après avoir fait tout cela, les cookies que vous définissez côté serveur sera envoyé avec la réponse, et le navigateur sera en mesure de bien les gérer et de les insérer dans le navigateur de la banque de cookies pour http://www.domain2.com. Et toute la SCRO demandes que vous envoyez envoyer ces cookies dans la demande.

Si vous envoyez une demande autre que le GET, POST, HEAD ou des méthodes, vous aurez besoin de mettre en œuvre Contrôlé demande (voir la section intitulée "Contrôlé demandes"):

Contrairement à une simple demande (voir ci-dessus), "contrôlé" demande d'abord envoyer une requête HTTP par la méthode des OPTIONS à la ressource sur l'autre domaine, afin de déterminer si la demande est sûr d'envoyer. Les requêtes inter-domaines sont contrôlé comme cela, car ils peuvent avoir des implications pour les données de l'utilisateur. En particulier, une demande est contrôlé si:

• Il utilise des méthodes autres que GET, HEAD ou par la POSTE. Aussi, si le POST est utilisée pour envoyer les données de la demande avec un Type de Contenu autre que l'application/x-www-form-urlencoded, multipart/form-data, ou text/plain, par exemple, si la requête POST envoie une charge utile XML au serveur à l'aide de l'application/xml ou texte/xml, alors que la demande est contrôlé.

• Il définit les en-têtes personnalisés à la demande (par exemple, la demande utilise un en-tête tel que X-PINGOTHER)

Côté-note sur IE8 et IE9:
L'appel Ajax ci-dessus échoue dans IE8 et 9. J'ai inclus le fichier JS de MoonScript/jQuery-ajaxTransport-XDomainRequest sur ma page, et ce automatiquement autorisé de la SCRO demande de travailler dans ces vieilles versions IE. Mais, malheureusement, la XDomainRequest objet que MS créé pour IE8 et 9 ne pas autoriser les cookies pour être envoyé ou reçu. (voir ce blog MSDN pour plus d'informations)