AWS CloudFront签名Cookies CORS问题

Question

我在执行cloudfront签名的cookies时遇到以下错误

CORS 策略已阻止从源“https://b.xyz.com”在“https://a.xyz.com/test.html”处访问 XMLHttpRequest：请求的资源上不存在“访问控制-允许-源”标头。

我正在访问a.xyz上的文件。com（域1）从b.xyz。com（域2）。在限制云前端（域1）分发的查看器访问（使用签名cookie）之前，这一切都很好。

对于具有域1资产的存储桶，我的S3 CORS配置是

<?xml version="1.0" encoding="UTF-8"?>
<CORSConfiguration xmlns="http://s3.amazonaws.com/doc/2006-03-01/">
<CORSRule>
    <AllowedOrigin>*</AllowedOrigin>
    <AllowedMethod>GET</AllowedMethod>
    <AllowedMethod>PUT</AllowedMethod>
    <AllowedMethod>POST</AllowedMethod>
    <AllowedMethod>HEAD</AllowedMethod>
    <MaxAgeSeconds>3000</MaxAgeSeconds>
    <AllowedHeader>*</AllowedHeader>
</CORSRule>
</CORSConfiguration>

我尝试在cloudfront行为设置中设置以下白名单标题

Access-Control-Request-Headers
Access-Control-Request-Method
Origin

但是我仍然得到上面的错误。

注意：如果我在新选项卡中打开文件 https://a.xyz.com/test.html，它工作正常，即成功创建了签名的cookie。

我怎么才能解决这个问题？

Answer 1

对于要与cookie一起使用的CORS，您需要使用Access-Control-Alable-Credonals

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Access-Control-Allow-Credentials

另外Access-Control-Allo-Origin不能是*，并且XHR需要使用with Crephaals触发

https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest/withCredentials