socketio跨域问题解决

如何解决socketio跨域请求携带cookie问题？

摘要：

由于系统需要集成到一个门户网站上，原本系统nginx和消息服务是在同一服务器上，现在系统地址改变后，导致系统每次请求都要携带一个token（验证用户信息，这个token就存在cookie中），但是cookie是无法跨域的，导致消息发送失败，如：页面地址为10.90.8.87，node地址为10.90.9.76，这时候就存在cookie跨域问题了
报错信息：

Access to XMLHttpRequest at 'aaa.com'  from origin 'bbb.com' has been blocked by CORS policy.
The value of the 'Access-Control-Allow-Origin' header in the response must *not be the wildcard '*' when the request's credentials mode is 'include'.
The credentials mode of request initiated by the XMLHttpRequest is controlled by the withCredentials attribute.

问题分析：

遇到问题不要慌，先看报错信息，他的意思就是：bbb.com到aaa.com的请求被跨域策略所阻塞，当请求中的资格属性为包含时，响应头中的Access-Control-Allow-Origin属性值不能是所有，请求中的证书属性是由withCredentials属性所控制。
可以看一下你的请求信息，若Access-Control-Allow-Origin为*，意思就是所有请求都可以访问，为某一个具体地址就是只有这个地址可以响应

在网上有很多解决方案，包括在node服务中设置Access-Control-Allow-Origin属性为**，**为具体地址（也就是客户端的地址），或者io连接中io.setOrigins(‘客户端地址’)等，但是还是要根据你的需求来确定如何解决。
我们的消息服务一般就是先在客户端（java代码）中集成，然后部署node服务端，报错信息中说的很明白，请求中的证书属性是由withCredentials属性所控制

解决措施：

现在看你到底是否需要携带cookie？
如果需要，你就必须将你的请求地址加入node服务端的白名单中
在nodejs\node_modules\socket.io\lib中编辑index.js或者manager.js

Server.prototype.serve = function(req, res){var etag = req.headers['if-none-match'];if (etag) {if (clientVersion == etag) {debug('serve client 304');res.writeHead(304);res.end();return;}}debug('serve client source');res.setHeader('Content-Type', 'application/javascript');res.setHeader('ETag', clientVersion);//加入以下代码//设置允许跨域的客户端地址res.header("Access-Control-Allow-Origin","客户端地址");//是否允许后续请求携带认证信息（cookies）,该值只能是true,否则不返回res.header("Access-Control-Allow-Credentials",true);//响应首部 Access-Control-Allow-Headers 用于 preflight request（预检请求）中，列出了将会在正式请求的 Access-Control-Expose-Headers 字段中出现的首部信息res.header("Access-Control-Allow-Headers", "X-Requested-                       With,Origin,Content-Type,Accept");  //设置是否同意这些方法来修改服务器资源
res.header("Access-Control-Allow-Methods","PUT,POST,GET,DELETE,OPTIONS");
//代码结束res.writeHead(200);res.end(clientSource);
};

java中设置一下这个withCredentials属性不就可以了，让他在请求的收不要携带cookie，我们也不管服务端到底允许谁携带，我们就直接不携带了，具体看代码块最后方
如果不需要，就直接在请求中设置withCredentials为false

Request.prototype.create = function () {var opts = { agent: this.agent, xdomain: this.xd, xscheme: this.xs, enablesXDR: this.enablesXDR };// SSL options for Node.js clientopts.pfx = this.pfx;opts.key = this.key;opts.passphrase = this.passphrase;opts.cert = this.cert;opts.ca = this.ca;opts.ciphers = this.ciphers;opts.rejectUnauthorized = this.rejectUnauthorized;//这里其实就是请求var xhr = this.xhr = new XMLHttpRequest(opts);var self = this;//原本这里设置了不携带，但后边debug发现它又把属性改回去了// xhr.withCredentials = false;try {debug('xhr open %s: %s', this.method, this.uri);xhr.open(this.method, this.uri, this.async);try {if (this.extraHeaders) {xhr.setDisableHeaderCheck(true);for (var i in this.extraHeaders) {if (this.extraHeaders.hasOwnProperty(i)) {xhr.setRequestHeader(i, this.extraHeaders[i]);}}}} catch (e) {}if (this.supportsBinary) {// This has to be done after open because Firefox is stupid// http://stackoverflow.com/questions/13216903/get-binary-data-with-xmlhttprequest-in-a-firefox-extensionxhr.responseType = 'arraybuffer';}if ('POST' === this.method) {try {if (this.isBinary) {xhr.setRequestHeader('Content-type', 'application/octet-stream');} else {xhr.setRequestHeader('Content-type', 'text/plain;charset=UTF-8');}} catch (e) {}}// ie6 checkif ('withCredentials' in xhr) {**//这里原本是true，改为falsexhr.withCredentials = false;**//xhr.withCredentials = true;}

到此node消息即可发出