Estoy usando express en el back-end con react en el front-end. Estoy usando cors para obtener detalles de usuario de pasaporte.js GoogleOAuth. Estoy usando Heroku para alojar el front-end y el back-end en dos dominios diferentes. La solicitud en el cliente se ve así:
fetchAuthUser = async () => { const metadata = { headers : { 'Content-Type': 'application/json', 'Accept': 'application/json' }, referrerPolicy: "strict-origin-when-cross-origin", body: null, method: "GET", mode: "cors", credentials: "include" } const response = await fetch(Env.backend_host +'/authenticate_google/api/current_user', metadata).catch((err) => { console.log(err) }); console.log(response); if (response && response.data) { this.setState({user: eval(response.data)}, () => {this.loadPages()}); } }y el servidor está actualmente configurado de la siguiente manera:
Las cookies se configuran así,
router.use( cookieSession({ maxAge: 30 * 24 * 60 * 60 * 1000, // sets cookie to expire in 30 days (converted to milliseconds) keys: ["trialkey"], sameSite: "lax", }) );La respuesta de get es la siguiente
router.get("/api/current_user", cors({ origin: "https://energycast-front.herokuapp.com", methods: ['GET','POST','OPTIONS'], credentials: true, preflightContinue: true}), (req, res) => { console.log("User:" +req.user) res.json(req.user); });El problema no parece estar relacionado con cors, sin embargo, al observar la solicitud, veo que no se envían cookies. Esto es extraño porque he configurado las credenciales "incluir".
Nota bene, la consola está registrando el "Usuario" para que no esté definido en el propio servidor.
Cualquier ayuda será apreciada.
Descubrí qué salió mal, el problema estaba en la sesión de cookies. Cuando la cookie se configuraba en sameSite = 'none' , la herramienta de red la recogía y devolvía el error de que la seguridad tenía que configurarse como verdadera. Sin embargo, después de configurar seguro igual a verdadero, la herramienta de depuración de la red volvió a decir que el mismo sitio estaba configurado como "Laxo" y que no se podían enviar las cookies.
Por lo tanto, he cambiado al paquete express-cookie:
router.set('trust proxy', 1) // trust first proxy router.use( session({ secret: SECRET, resave: false, saveUninitialized: true, cookie: { secure: true, sameSite: "none" } }) );Las cookies con SameSite=Lax se bloquean si la solicitud se realiza desde un sitio diferente y no se inicia mediante una navegación de nivel superior (sino mediante una declaración de fetch ).
Intente usar sameSite: "None" .
La cookie también puede bloquearse porque no cumple con la configuración de cookies de terceros en su navegador.