Intercambio de recursos de origen cruzado con credenciales

Question

Tengo un formulario de autenticación común en varios subdominios (example.com, blog.example.com y app.example.com). La forma de la conexión debe presentar estos datos a example.com, independientemente de donde se demuestra, por lo que pensado en utilizar CORS, pero esto:

header("Access-Control-Allow-Origin: http://example.com http://blog.example.com http://app.example.com") 

does not work

Así que pensé en hacer lo siguiente, y la comprobación de la cabecera origen de forma manual en el lado del servidor, y permitiendo un Access-Control-Allow-Origin: * para que las solicitudes podrían hacerse, pero, por desgracia, esto surge in the MDN

nota importante: al responder a una solicitud de credenciales, el servidor debe especificar un dominio, una nd no puede usar el cardado comodín.

¿Hay alguna manera de hacer que mi solicitud funcione en varios dominios, y todavía enviar credenciales usando CORS?

Answer 1

dos pensamientos:

1) es que también están incluidos los "Access-Control-Allow-Credenciales: true" de cabecera? Esto es necesario para pasar credenciales de cookie (y el cliente XHR correspondiente debe establecer .withCredentials = true)

2) ¿Ha probado la sugerencia de su enlace y solo incluye el origen de la solicitud actual? Por ejemplo, si aparece una solicitud con el encabezado "Origen: http://blog.example.com", respondería con "Access-Control-Allow-Origin: http://blog.example.com", y no una lista de orígenes. Esto requiere un poco más de trabajo en la implementación del lado del servidor.

3) Otro pensamiento, mencionas que tienes un único formulario de inicio de sesión que debe ser compartido por varios dominios. Bueno, si se trata de un formulario HTML estándar, puede hacer una publicación de formulario regular en todos los dominios. No necesita usar CORS. Simplemente establece la propiedad "acción" del formulario en la url que deseas publicar. Por ejemplo:

<form name="login" action="http://login.example.com/doLogin"> 

Answer 2

// cross domain 
header("Access-Control-Allow-Origin: ".$_SERVER['HTTP_ORIGIN']); 
header('Access-Control-Allow-Credentials: true');