라이브서버에서 헤더를 추가하여 xhr 요청을 보낼시 cors 문제를 어떻게 해야할지 잘 모르겠습니다.

Question

@WebServlet("/session") public class SessionTest extends HttpServlet { @Override protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { response.setHeader("Access-Control-Allow-Origin","*"); HttpSession session = request.getSession(); String sessionValue = session.getId(); System.out.println(sessionValue); response.getWriter().print(sessionValue); } }사실 저번에도 비슷한 질문을 드렸었는데, 그때도 해결하지 못하여 포기했다가, 다시해보려고 하는데.. ㅠ_ㅠ 잘 모르겠어서 이 문제에 대해 마지막으로 질문 드립니다.우선 8078/session으로 요청이 가면 세션을 생성하고, 클라이언트에선 그걸 바로 쿠키에 저장을 안하더군요 .. 그래서 일단 스토리지에 저장을 하고 그것을 cookie에 넣었습니다.이후 다시 요청을 보낼때 헤더에 아래와 같이 넣어서 보내고 싶은데 이게 cors에러와 Refused to set unsafe header "cookie" 라는 에러가 발생해서요 ... ㅠ Cookie: JSESSIONID=99F876C0B3909B84649F526D3695C83BCORS 이후에 응답받는? 저 페이지는 톰캣서버? 더라구요 .. 이건 왜 5500번으로 안오는지 .. 원래 이게 맞는걸까요? .. 아니면 어떤 방법으로 진행해야 할까요 ? ㅠㅠ

Clickin · Accepted Answer

HttpOnly가 설정되어있지 않을까 추측되네요HttpOnly 설정된 세션 쿠키의 경우 위변조를 막기 위해서 자바스크립트에서 설정이 불가능합니다.그리고 이 형식의 쿠키는 크롬에서 반드시 HTTPS로만 적용이 가능하도록 제한이 걸려있고요일단 HttpOnly와 Secure 옵션 여부부터 한번 알아보세요알아보는 방법 https://mingzz1.github.io/pentesting/web/2020/02/04/Web-httponly_cookie.html/

캐티 · Answer

withCredentials 속성을 주어야 해요.[1] XMLHttpRequest: withCredentials property - Web APIs | MDN (mozilla.org)[2] 교차 출처 리소스 공유 (CORS) - HTTP | MDN (mozilla.org)

라이브서버에서 헤더를 추가하여 xhr 요청을 보낼시 cors 문제를 어떻게 해야할지 잘 모르겠습니다.

2개의 답변

기타 목록