浏览器未保存Set-Cookie头Cookie：Next.js跨域请求问题排查

你的问题核心是**SameSite=Strict的配置冲突，同时跨域场景下的Cookie安全规则限制导致Cookie未被保存**，具体分析和解决方法如下：

1. 核心问题：SameSite=Strict的限制 #

SameSite=Strict是最严格的Cookie安全规则：只有当请求发起页面与目标URL属于完全同站（协议、域名、端口三者完全一致）时，浏览器才会接受并保存该Cookie。

你当前的请求是从start.mysite.com（子域）发往api.mysite.com（另一子域），属于跨站请求，因此浏览器会直接忽略Set-Cookie头——哪怕你的CORS配置完全正确。而禁用Chrome的CORS功能时，浏览器会绕过部分安全校验，所以Cookie能正常保存，但这仅适用于测试，不能作为生产环境的解决方案。

2. 确认CORS配置的合理性 #

你的CORS设置是正确的，不存在问题：

• access-control-allow-credentials: true明确允许跨域携带凭证
• access-control-allow-origin指定了具体请求来源https://start.mysite.com，而非通配符*（这是跨域带凭证的必要前提）

3. 解决方案 #

根据你子域间共享Cookie的业务场景，可调整以下配置：

方案一：修改SameSite为Lax #

将Cookie的SameSite属性改为SameSiteMode.Lax：

context.Response.Cookies.Append(
    cookieName, 
    JsonSerializer.Serialize(data), 
    new CookieOptions()
{
    
        Path = "/",
    
        HttpOnly = true,
    
        Secure = true,
    
        SameSite = SameSiteMode.Lax, // 改为Lax模式
        MaxAge = TimeSpan.FromMinutes(5),
    
        Domain = "mysite.com", // 注意添加引号，确保是字符串类型
    }
);

Lax模式允许跨站的顶级导航请求（比如GET跳转）携带Cookie，同时对于PUT这类非GET的用户主动触发请求，现代浏览器也会允许保存Cookie，完全满足你子域间共享Cookie预填表单的需求。

方案二：使用SameSite=None（适用于跨父域场景） #

如果你的业务涉及跨外部域名的请求，可以设置SameSite=None，但必须确保Secure属性为true（你已满足该条件）：

SameSite = SameSiteMode.None,

注意：SameSite=None需要Chrome 80+、Firefox 69+等现代浏览器支持，旧版浏览器会将其视为Strict。

额外注意事项 #

• 修正后端Domain配置：你的代码中Domain = mysite.com存在语法问题，应改为Domain = "mysite.com"，避免被识别为变量而非域名字符串。
• 清除浏览器缓存：修改Cookie配置后，需清除原有Cookie或使用无痕模式测试，避免旧配置干扰。

内容的提问来源于stack exchange，提问作者Wesley Weisenberger