うまくいけば、これは簡単に答えられます。
XHR2 の認証済みリクエストでは、どの Cookie が送信されますか?
Credentialed requests に関する MDN の記事をフォローしてきましたが、リクエストと共にCookiepageAccess=2が送信されることが示されています。ただし、その Cookie がどこから来るのか、その Cookie が具体的に送信される理由は説明されていません。ページによって設定されたすべての Cookie が、認証された要求で送信されるだけですか?
CORSの HTML5 Rocks ページから:
この
.withCredentialsプロパティは、リモート ドメインからのすべての Cookie を要求に含め、リモート ドメインからのすべての Cookie も設定します。
XHR2でCookieを指定するメカニズムがないため、「すべてのCookie」は「すべてのCookie」を意味すると思います（おそらくCookieのHTTPSのみのフラグの対象となります）。
送信される cookie は、リモート ドメインによって設定された cookieです。 がfoo.comに認証済みのリクエストを送信するとbar.com、 によって設定された cookiebar.comが送信されます。これを具体的に言えば、facebook.com使用するにはログインが必要な CORS 対応 API があるとします。以前のブラウザー セッションで Facebook にログインしましたが、現在は を参照foo.comしています。これは、代わりに Facebook の API を使用します。Facebookが私が誰であるか、そして私がすでにFacebookに認証されていることを知っているように、私のすべてのCookieと一緒にfoo.comクロスドメインリクエストを送信するようにebrowserに要求します.facebook.com facebook.com