cookie di dominio Cross utilizza CORS in Safari

Question

Ho seguito l'esempio: http://arunranga.com/examples/access-control /credentialedRequest.html

da questa pagina: http://arunranga.com/examples/access-control/

L'opera ad esempio in Firefox, ma non Safari, chiunque hanno cercato nell'attuazione CORS croce gestione dei cookie di dominio, e di essere il successo di Safari?

Grazie.

Answer 1

Questo suona come un bug di Safari. Ho appena verificato che i cookie tra domini non vengono impostati in Safari. cookie tra domini stanno lavorando in Chrome, quindi questo può essere fissato in WebKit e l'ultima non ha reso ad ancora Safari. Non ho visto un rapporto Safari o WebKit bug su questo.

Answer 2

Safari blocca anche i cookie dai siti che non sono stati visitati direttamente. Si può vedere nelle impostazioni di sicurezza. E 'impostazione di default è Accetta i cookie:. "Solo dai siti che visito"

Questa guida permette di iniziare. Impostazione cookie tra domini in Safari

Non ho lavoro jsonp in Safari utilizzando metodi nel link qui sotto. Così presume che il cookie avrebbe funzionato nel contesto CORS, ma in questa fase non sembra funzionare. Inoltre, cambiando l'impostazione di sicurezza sembra avere alcun effetto.

Safari potrebbe richiedere un insieme più rigoroso di intestazioni da restituire?

Answer 3

ho incontrato questo con le applicazioni API / UI su diversi sottodomini di Heroku, come my-api.herokuapp.com e my-ui.herokuapp.com, cookie di sessione è stato fissato per my-api.herokuapp.com. Anche la visita my-api.herokuapp.com non sembrava aiuto Safari in questo caso con il suo default 'Solo dai siti che visito' la politica @ 23inhouse detto: http://content.screencast.com/users/artemv/folders/Jing/media/4dfc08d7 -0e9c-483f-A272-bbe91549ea95 / 00000759.png .

Tuttavia, Safari ha funzionato bene quando abbiamo assegnato un dominio personalizzato per queste applicazioni e divenne my-api.mydomain.com e my-ui.mydomain.com - così sembra che Safari ha particolarmente bassa fiducia per hoster popolari sottodomini. Nessuna visita diretto my-api.mydomain.com era necessaria in questo caso.