使用认证中间件，登录后通过Cookie存储Token调用私有API失败

1. 检查Cookie传输有效性 #

• 打开浏览器开发者工具（F12），切换到**网络(Network)**标签，发起请求后查看请求头是否包含Cookie字段，且Token值与登录时生成的一致
• 核对响应头的Set-Cookie属性：
  • 跨域场景下需设置SameSite=None，同时必须搭配Secure属性（仅HTTPS环境生效）
  • Domain和Path需与API请求地址匹配，否则浏览器不会自动携带Cookie
  • 若Token设为HttpOnly，前端无法读取但不影响自动传输，无需额外处理

2. 验证后端CORS配置 #

• 必须返回Access-Control-Allow-Credentials: true响应头，允许携带凭证
• Access-Control-Allow-Origin不能设为*，需指定前端具体域名（如https://your-frontend.com）
• 确认Access-Control-Allow-Methods包含POST，Access-Control-Allow-Headers包含Content-Type

3. 排查认证中间件逻辑 #

• 确认中间件从req.cookies中读取Token，而非Authorization请求头（因为Token存在Cookie中）
• 检查Token有效期：用解码工具（如JWT的jwt.decode()）验证是否已过期
• 检查中间件错误处理：确保Token无效/缺失时返回明确的错误响应（如401状态码+提示信息），避免请求静默终止

4. 修复前端请求的静默问题 #

• 给fetch添加错误捕获逻辑，强制输出错误信息：

fetch(`${config.apiUrl}`, {
      method: "POST",
      headers: {
        "Content-Type": "application/json",
      },
      credentials: "include",
      body: JSON.stringify(payload),
})
.then(response => {
  if (!response.ok) {
    throw new Error(`请求失败：${response.status}`);
  }
  return response.json();
})
.catch(error => {
  console.error('详细错误:', error);
});

• 确认config.apiUrl域名与Cookie的Domain匹配，避免跨域携带Cookie失败

5. 清理浏览器缓存干扰 #

• 清除浏览器缓存及相关Cookie，重新登录后再测试，排除旧Token或缓存的影响

内容的提问来源于stack exchange，提问作者sup01