Fiori调用ODATA服务PUT请求403 跨域Cookie无法读取设置问题

核心问题点 #

你现在遇到的403和Cookie不共享问题，是前端代码bug、CORS配置错误、浏览器安全规则限制三个原因共同导致的：

• 首先是前端代码低级错误：你定义了存x-csrf-token和Authorization的Headers对象，但构造GET请求时根本没有把这个headers传入Request配置项，等于GET请求根本没带x-csrf-token:fetch头，拿到的令牌本身就是无效的。
• 其次是浏览器安全硬限制，这个和配置无关，绕不开：
  • 跨域场景下Set-Cookie属于禁止前端JS读取的响应头，哪怕CORS全开，JS也拿不到这个字段的值。Chrome网络面板能看到是因为浏览器本身收到了Cookie，只是不暴露给JS层。
  • Cookie是浏览器禁止手动修改的请求头，你就算在fetch里手动写Cookie字段，浏览器会直接忽略这个自定义值，只会自动带上自身Cookie存储里对应域名的合法Cookie，所以你手动设置的SessionID根本不会生效。
  • document.cookie读不到Cookie是正常的：SAP的会话Cookie默认开启HttpOnly属性，本来就禁止JS读取，就算没开HttpOnly，如果Cookie的域名、SameSite属性不匹配，也不会出现在document.cookie里。
• 最后是CORS和服务端配置的错误：
  • Access-Control-Allow-Origin配置值写错了：这个字段需要填你Fiori前端应用的访问源（协议+域名+端口），不是OData服务自己的域名。而且开了credentials: 'include'时，这个值不能设为通配符*，必须精确匹配前端源。
  • 你只在GET请求的业务逻辑里加了CORS头，没有处理OPTIONS预检请求：PUT属于跨域非简单请求，浏览器会在发PUT前先发一个OPTIONS方法的预检请求，校验CORS权限，你现在的服务端没给OPTIONS响应加CORS头，预检直接失败，后续请求就算发出去也不会带Cookie。
  • 你配置的Access-Control-Allow-Headers里漏了x-csrf-token，带这个自定义头的请求会被CORS规则拦截。
  • SAP默认下发的会话Cookie带SameSite=Lax/Strict属性，跨域场景下浏览器不会自动携带这类Cookie，必须调整Cookie属性。
  • 你没有配置Access-Control-Expose-Headers，跨域场景下JS默认读不到响应里的x-csrf-token字段。

具体修复步骤 #

前端代码修复 #

1. 给GET请求补上headers配置，把你之前定义的请求头传进去：

const xcsrftokenHeader = new Headers();
xcsrftokenHeader.append('x-csrf-token', 'fetch');
xcsrftokenHeader.append('Authorization', 'Basic '+  btoa(username + ":" + password));

const xcsrftokenRequest = new Request('<myURL>', {
    method: 'GET',
    credentials: 'include',
    headers: xcsrftokenHeader // 之前漏传了请求头
});

2. 后续发PUT请求时，同样配置credentials: 'include'，只需要把GET拿到的x-csrf-token放到请求头里即可，完全不需要手动设置Cookie头，浏览器会自动处理Cookie携带逻辑。
3. 不要尝试读取set-cookie响应头、手动拼接Cookie头，这些操作都被浏览器安全规则拦截，做了也不会生效。

ABAP服务端修复 #

1. 修正CORS头配置：
   • 把Access-Control-Allow-Origin的值改成Fiori前端的精确访问源，比如前端跑在https://fiori.xxx.com，这里就填这个地址，不要填服务端自身域名，也不要填*。
   • 在Access-Control-Allow-Headers的取值里补上x-csrf-token，允许前端携带这个自定义头。
   • 新增Access-Control-Expose-Headers响应头，取值加上x-csrf-token，让前端JS可以读到响应里的令牌字段。
2. 新增OPTIONS请求处理逻辑：在服务端全局请求拦截层面识别OPTIONS方法，收到OPTIONS请求时直接返回200状态码，带上所有CORS响应头，不需要执行业务逻辑。不要在单个实体集的GET方法里写CORS逻辑，覆盖不到OPTIONS请求，也容易漏配。
3. 调整SAP会话Cookie属性：
   • 给会话Cookie加上SameSite=None; Secure属性，跨域场景下浏览器才会自动携带该Cookie。注意SameSite=None必须搭配Secure属性使用，也就是生产环境必须用HTTPS访问服务。
   • 确认Cookie的Domain配置覆盖OData服务的访问域名，Path设置为/。
4. 如果是本地开发用HTTP测试，可以临时把浏览器的SameSite限制关掉做调试，生产环境必须走HTTPS配置。

验证方法 #

配置完成后打开Chrome开发者工具网络面板按顺序校验：

• 发GET请求前的OPTIONS预检请求返回200，响应头里的CORS配置全部正确
• GET请求的响应头里有正确的x-csrf-token，Set-Cookie里的SessionID属性符合要求
• 发PUT请求时，浏览器自动在请求头里带上了GET阶段拿到的SessionID Cookie和你设置的x-csrf-token，此时就不会再返回403错误。

内容的提问来源于stack exchange，提问作者jonash_01