Access-Control-Allow-Credentials header
Baseline
Widely available
This feature is well established and works across many devices and browser versions. It’s been available across browsers since Juli 2015.
Der HTTP Access-Control-Allow-Credentials Response-Header teilt den Browsern mit, ob der Server erlaubt, dass Anmeldedaten in Cross-Origin-HTTP-Anfragen eingeschlossen werden.
Anmeldedaten umfassen Cookies, Transport Layer Security (TLS) Client-Zertifikate oder Authentifizierungsheader, die einen Benutzernamen und ein Passwort enthalten. Standardmäßig werden diese Anmeldedaten nicht in Cross-Origin-Anfragen gesendet, da dies eine Seite anfällig für Cross-Site Request Forgery (CSRF) Angriffe machen kann.
Ein Client kann auf mehrere Arten darum bitten, dass Anmeldedaten in Cross-Site-Anfragen einbezogen werden:
- Verwendung von
fetch(), indem diecredentialsOption auf"include"gesetzt wird. - Verwendung von
XMLHttpRequest, indem dieXMLHttpRequest.withCredentialsEigenschaft auftruegesetzt wird. - Verwendung von
EventSource(), indem dieEventSource.withCredentialsEigenschaft auftruegesetzt wird.
Wenn Anmeldedaten einbezogen werden:
- Für Preflighted Anfragen: Die Vorab-Anfrage enthält keine Anmeldedaten.
Wenn die Server-Antwort auf die Vorab-Anfrage den
Access-Control-Allow-CredentialsHeader auftruesetzt, wird die tatsächliche Anfrage Anmeldedaten enthalten; andernfalls meldet der Browser einen Netzwerkfehler. - Für nicht vorabgeprüfte Anfragen: Die Anfrage enthält Anmeldedaten, und wenn die Server-Antwort den
Access-Control-Allow-CredentialsHeader nicht auftruesetzt, meldet der Browser einen Netzwerkfehler.
| Header-Typ | Response-Header |
|---|
Syntax
Access-Control-Allow-Credentials: true
Direktiven
true-
Der Server erlaubt, dass Anmeldedaten in Cross-Origin HTTP-Anfragen enthalten sind. Dies ist der einzige gültige Wert für diesen Header und ist groß- und kleinschreibungssensitiv. Wenn Sie keine Anmeldedaten benötigen, lassen Sie diesen Header vollständig weg, anstatt seinen Wert auf
falsezu setzen.
Beispiele
Anmeldedaten erlauben:
Access-Control-Allow-Credentials: true
Verwendung von fetch() mit Anmeldedaten:
fetch(url, {
credentials: "include",
});
Verwendung von XMLHttpRequest mit Anmeldedaten:
const xhr = new XMLHttpRequest();
xhr.open("GET", "http://example.com/", true);
xhr.withCredentials = true;
xhr.send(null);
Spezifikationen
| Specification |
|---|
| Fetch # http-access-control-allow-credentials |