Spring Boot JWT HttpOnly Cookie在Chrome中无法生效问题排查

1. Cookie Domain 不匹配 #

你设置的Cookie Domain为192.168.1.107，但前端通过localhost:5173访问，Chrome对跨域Cookie的Domain校验比Firefox严格，会认为域名不匹配而拒绝携带Cookie。

解决：

• 本地测试时删除Domain设置，让浏览器自动适配当前请求域名：

// 移除这行代码
// refreshTokenCookie.setDomain("192.168.1.107");

• 或者让前端也通过192.168.1.107:5173访问（比如Vite启动时加--host 192.168.1.107参数），保持前后端域名一致。

2. SameSite 属性设置错误 #

你通过setAttribute手动设置SameSite属性，这不是Spring官方推荐的方式，Chrome可能无法正确识别该属性，导致Cookie不符合跨域携带规则。此外，当SameSite设为None时，Chrome要求Cookie必须是Secure（仅HTTPS传输），否则会拒绝处理。

解决：
改用Spring 5.2+提供的setSameSite方法，并添加Secure属性：

// 替换原setAttribute代码
refreshTokenCookie.setSameSite(Cookie.SameSite.NONE);
refreshTokenCookie.setSecure(true); // HTTPS环境生效，本地HTTP测试需临时关闭Chrome的SameSite限制

本地HTTP测试时，可在Chrome地址栏输入chrome://flags/#same-site-by-default-cookies，将选项设为Disabled临时绕过限制。

3. 前端请求域名与Cookie域名不一致 #

检查axios的baseURL配置，确保请求后端的域名和Cookie的Domain一致。如果前端用localhost请求，而Cookie绑定192.168.1.107，Chrome会拒绝携带Cookie。

解决：
设置axios的baseURL为后端服务的IP地址：

axios.defaults.baseURL = "http://192.168.1.107:8080"; // 替换为你的后端端口

4. Chrome第三方Cookie限制 #

Chrome默认阻止第三方Cookie，若前后端域名不同（如localhost和192.168.1.107），会被判定为第三方请求，Cookie无法携带。Firefox默认对第三方Cookie限制更宽松。

解决：

• 本地测试时，在Chrome设置中临时允许所有Cookie：设置→隐私和安全→Cookie和其他网站数据→选择"允许所有Cookie"。
• 生产环境需确保前后端同域名，或配置Cookie的Domain为公共父域名。

额外排查点 #

• 检查Chrome开发者工具的Application→Cookies面板，确认refreshToken Cookie的Domain、SameSite、Secure属性是否符合预期。
• 查看Network面板中refresh-token请求的Request Headers，确认是否携带了Cookie字段，若没有，说明浏览器未发送。

内容的提问来源于stack exchange，提问作者user30162959