SAP UI5 應用在傳送 OData batch 請求之前，會透過下列的`_createBatchRequest`方法構造 batch 請求物件：

```javascript
var oBatchRequest = that._createBatchRequest(aReadRequests);
```

![](https://img-blog.csdnimg.cn/img_convert/dd956eceadba82e7f59363b1ef543afe.png)

該請求物件的 data 欄位裡，包含 batch 具體的 payload：

![](https://img-blog.csdnimg.cn/img_convert/ae626b6526816e4740542c06e32b73c0.png)

- Invoices?$skip=0&$top=100&$orderby=ShipperName%20asc
- Invoices/$count

該請求頭部欄位 Accept 為 multipart/mixed：

![](https://img-blog.csdnimg.cn/img_convert/f1950b71a8d811d7a34862d1ea4f5df9.png)

然後透過 			oWrappedBatchRequestHandle.oRequestHandle = that._submitBatchRequest(oBatchRequest, aBatchGroup, fnSuccess, fnError) 方法進行提交。

token handling 標誌位為 true，且方法不為 POST，因此在執行 batch 操作之前，先要獲取 CSRF token：

![](https://img-blog.csdnimg.cn/img_convert/29980a72080a8018abeea313de264dcf.png)

![](https://img-blog.csdnimg.cn/img_convert/0e061de9128056e49b59b0e0b6320429.png)

進入函式`refreshSecurityToken`.

構造發起 token 請求的 request 物件：
![](https://img-blog.csdnimg.cn/img_convert/5b74543d744716426d60edb29e25f80a.png)

url 為：https://services.odata.org/V2/Northwind/Northwind.svc/

首先嚐試 head 請求，如果報錯，再切換成 get 請求：

![](https://img-blog.csdnimg.cn/img_convert/c818e48e5a23e7dce1ad6d46ff6e231f.png)

```javascript
// Initially try method "HEAD", error handler falls back to "GET" unless the flag forbids HEAD request
		if (this.bDisableHeadRequestForToken) {
			mTokenRequest.request = requestToken("GET", handleGetError);
		} else {
			mTokenRequest.request = requestToken("HEAD", handleHeadError);
		}
```

請求 token 的 HTTP 請求的 Content-type 設定邏輯，和標誌位 `bJson` 有關：

![](https://img-blog.csdnimg.cn/img_convert/8a3c57e39d2ffc86b50af7696c678a3f.png)

request 物件：
![](https://img-blog.csdnimg.cn/img_convert/665891e88d8fc960f11fe8b578a62233.png)

最重要的頭部欄位 `x-csrf-token`, 值被填充成 fetch：

```javascript
function requestToken(sRequestType, fnError) {
			// trigger a read to the service url to fetch the token
			oRequest = that._createRequest(sUrl, "", sRequestType,
				that._getHeaders(undefined, true), null, null, !!bAsync);
			oRequest.headers["x-csrf-token"] = "Fetch";
			return that._request(oRequest, handleSuccess, fnError, undefined, undefined, that.getServiceMetadata());
		}
```

執行了 head 請求後，響應的狀態碼是 200，但是 `responseText` 欄位值是空的。

![](https://img-blog.csdnimg.cn/img_convert/ac803a9bca74b907a76879042cdc986b.png)

還是進入 success callback：

![](https://img-blog.csdnimg.cn/img_convert/e23f2a23708d8b049be6b6b260db40ee.png)

使用 handler 讀取 token 請求的 response，這個 handler 支援的 content-type 型別：application/atomsvc+xml;q=0.8, application/json;odata=fullmetadata;q=0.7, application/json;q=0.5, */*;q=0.1

![](https://img-blog.csdnimg.cn/img_convert/88b87506cd6d1b544da7b72ea8c0ffe1.png)

![](https://img-blog.csdnimg.cn/img_convert/a74d1b9501aa8a46265d5258c97149f7.png)

這裡因為 response.body 是空的，因此進入不了 `dispatchHandler`的處理邏輯：

![](https://img-blog.csdnimg.cn/img_convert/892976663dda92f9c7358e6bc26ce7f8.png)

然後進入 refreshToken 的 callback：
![](https://img-blog.csdnimg.cn/img_convert/27f3ac833ee6aa7c264f860a2ac3f501.png)

當然是拿不到 token 的：
![](https://img-blog.csdnimg.cn/img_convert/b5e81f4fbf9454e0e219393065daac08.png)

![](https://img-blog.csdnimg.cn/img_convert/6d99536a8c2a64c0169eaeab2de370de.png)

進入 else 分支：
![](https://img-blog.csdnimg.cn/img_convert/4e97aadf2c0691d8f10cbb712a23302a.png)

清除所有相關的 token 標誌位：

```javascript
ODataModel.prototype.resetSecurityToken = function() {
		delete this.oSharedServiceData.securityToken;
		delete this.oHeaders["x-csrf-token"];
		delete this.pSecurityToken;
	};
```

resolve 一個空的 token 給 callback：
![](https://img-blog.csdnimg.cn/img_convert/2ee0cd552e0e9c684ff4d762f9713b1f.png)

這個 head 請求的響應碼為 200，但是響應頭部沒有附帶 csrf token：
![](https://img-blog.csdnimg.cn/img_convert/4d4b51f6b3a335b39345cd03fb18d5f8.png)

SAP UI5 應用讀取 CSRF token 的 HTTP head 請求邏輯解析

相關文章