为什么cookie是与HTML页面的跨域请求一起发送的，而不是用JS的XHR发送的呢？

Question

当我们使用HTML标记、action属性和提交按钮编写一个D2页面时。一旦我们单击submit，就会向URL发送请求(带有cookies)，这是action属性值。

但是，如果我们用JS的XHR向同一个域发送跨域请求，就不会发送cookie。

在这两种情况下，请求都被发送到另一个域，但是还是会用第一种情况发送cookie，为什么会这样呢？

Answer 1

如果withCredentials设置为true，则可以与XHR一起发送Cookies。与跨源表单提交或跨源资源包含相反，应用程序实际上控制cookie是否发送。由于在跨站点请求中不包含cookie更安全，这是默认的，如果需要，应用程序必须显式地启用它。

Answer 2

对于跨域表单提交，cookie发送由每个cookie的SameSite设置管理。