ส่วนหัวของ Access-Control-Allow-Credentials ทำอะไรกันแน่?

ฉันพยายามที่จะเข้าใจวิธีการใช้ CORS และสับสนเกี่ยวกับสิ่งที่Access-Control-Allow-Credentialsส่วนหัวทำ

เอกสารกล่าวว่า

ระบุว่าการตอบกลับคำขอสามารถถูกเปิดเผยได้หรือไม่เมื่อการตั้งค่าสถานะหนังสือรับรองเป็นจริง

แต่ฉันไม่เข้าใจความหมายของคำตอบที่ "เปิดเผย"

ทุกคนสามารถอธิบายว่าส่วนหัวนี้ถูกตั้งค่าเป็นจริง (ร่วมกับการตั้งค่าข้อมูลประจำตัวการตั้งค่าเป็นจริง) จริงหรือไม่

ตามค่าเริ่มต้น CORS จะไม่รวมคุกกี้ในคำขอข้ามทาง สิ่งนี้แตกต่างจากเทคนิคการข้ามจุดกำเนิดอื่น ๆ เช่น JSON-P JSON-P มักจะรวมถึงคุกกี้ที่มีการร้องขอและพฤติกรรมนี้สามารถนำไปสู่คลาสของช่องโหว่ที่เรียกว่าการปลอมแปลงคำขอข้ามไซต์หรือ CSRF

เพื่อลดโอกาสของช่องโหว่ CSRF ใน CORS CORS กำหนดให้ทั้งเซิร์ฟเวอร์และไคลเอนต์รับทราบว่าการรวมคุกกี้ไว้ในการร้องขอนั้นใช้ได้ การทำเช่นนี้ทำให้คุกกี้มีการตัดสินใจอย่างแข็งขันมากกว่าสิ่งที่เกิดขึ้นแบบไม่โต้ตอบโดยไม่มีการควบคุมใด ๆ

รหัสลูกค้าจะต้องกำหนดwithCredentialsคุณสมบัติในXMLHttpRequestการtrueเพื่อที่จะให้ได้รับอนุญาต

อย่างไรก็ตามส่วนหัวนี้เพียงอย่างเดียวไม่เพียงพอ เซิร์ฟเวอร์ต้องตอบกลับด้วยAccess-Control-Allow-Credentialsส่วนหัว การตอบสนองด้วยส่วนหัวนี้trueหมายความว่าเซิร์ฟเวอร์อนุญาตให้รวมคุกกี้ (หรือข้อมูลรับรองผู้ใช้อื่น ๆ ) ไว้ในคำขอข้ามทาง

คุณต้องตรวจสอบให้แน่ใจว่าเบราว์เซอร์ของคุณไม่ได้บล็อกคุกกี้ของบุคคลที่สามหากคุณต้องการให้มีการขอหนังสือรับรองจากต้นทาง

โปรดทราบว่าไม่ว่าคุณจะทำคำขอต้นทางหรือข้ามหน้าที่เดียวกันคุณต้องปกป้องไซต์ของคุณจาก CSRF (โดยเฉพาะถ้าคำขอของคุณมีคุกกี้)