Angular生产模式下请求未携带Cookie问题排查求助

• 检查Cookie的Domain与生产环境页面域名是否匹配
  开发模式通常使用localhost，生产环境若为不同域名/子域名，后端设置的Cookie Domain必须严格匹配当前页面域名。可通过浏览器开发者工具的Application -> Cookies查看Cookie的Domain字段，确认是否与生产环境页面域名（如localhost:8080）一致。若后端Domain设置为具体域名而非匹配当前生产环境，会导致浏览器不携带Cookie。

• 验证SameSite规则与请求场景的适配性
  尽管后端设置了sameSite: lax，需确认生产环境请求是否符合该规则的触发条件：

  • lax允许跨站GET请求携带Cookie，但POST等非GET跨站请求可能受限；若生产环境存在跨站POST请求，可尝试临时将SameSite改为none（需同时开启secure: true，但仅适用于HTTPS环境，若生产环境用HTTP则不适用）。
  • 若生产环境前端与后端为同源（同域名不同端口），则SameSite规则不影响，需排查其他因素。

• 确认Angular生产构建的请求配置未被覆盖

  • 检查environment.prod.ts中的API地址是否与开发环境一致，若生产环境请求目标域名变更，需确保所有请求均正确设置withCredentials: true。
  • 若使用请求拦截器统一设置withCredentials，需确认生产构建时拦截器未被Tree-shaking优化移除，或配置逻辑未因生产环境变量改变而失效。

• 核对后端CORS配置的生产环境Origin
  确认后端CORS配置中已添加生产环境的Origin（如http://localhost:8080），且credentials: true已开启。可通过浏览器开发者工具的Network -> 请求头查看Origin字段，与后端允许的Origin列表逐一比对，避免因端口、协议（HTTP/HTTPS）不一致导致CORS验证不通过，进而阻止Cookie携带。

• 检查浏览器Cookie的Secure属性
  若生产环境使用HTTP服务（如http-server运行的localhost:8080），需确保后端Cookie未设置secure: true——该属性仅允许Cookie在HTTPS请求中携带，HTTP环境下浏览器会忽略此类Cookie。

内容的提问来源于stack exchange，提问作者Gerard