Go+React项目中Set-Cookie头存在但Cookie未设置的问题

核心问题定位 #

响应头存在Set-Cookie但浏览器未保存Cookie，结合你的Go后端代码和前后端跨域场景，问题主要集中在SameSite配置、跨域凭证传递、Secure属性的搭配逻辑上。

具体解决步骤 #

1. 修正SameSite与Secure的强制搭配 #

当SameSite设为SameSiteNoneMode时，浏览器强制要求Cookie必须开启Secure: true——因为SameSite=None是为跨域场景设计的，仅HTTPS环境下允许这类Cookie被保存。你的代码中Secure: false会导致浏览器直接忽略该Cookie。

修改后的Cookie设置代码：

func SetTokenInCookies(w http.ResponseWriter, token string) {
    http.SetCookie(w, &http.Cookie{
        Name:     "authToken",
        Value:    token,
        Path:     "/",
        HttpOnly: true,
        Secure:   true,  // 配合SameSite=None必须设为true
        SameSite: http.SameSiteNoneMode,
    })
}

本地开发用HTTP（如localhost）时，部分浏览器（Chrome 80+）允许SameSite=None的Cookie不开启Secure，但生产环境必须用HTTPS并设置Secure: true。

2. 前端请求显式携带凭证 #

React发起请求时，必须明确设置携带凭证，否则浏览器不会保存Set-Cookie内容，也不会在后续请求中携带Cookie：

• 若用Axios：

axios.get('/api/your-path', { withCredentials: true })

• 若用Fetch API：

fetch('/api/your-path', {
  credentials: 'include'  // 跨域场景用include，同域用same-origin
})

3. 后端配置跨域允许凭证 #

Go后端必须在CORS配置中开启凭证允许，否则浏览器会拦截Cookie。以gorilla/handlers为例：

import "github.com/gorilla/handlers"

func main() {
    corsOpts := handlers.CORS(
        handlers.AllowedOrigins([]string{"https://your-frontend-domain.com"}),  // 不能用*，必须指定具体前端域名
        handlers.AllowedMethods([]string{"GET", "POST", "OPTIONS"}),
        handlers.AllowedHeaders([]string{"Content-Type"}),
        handlers.AllowCredentials(),  // 关键：开启凭证传递权限
    )

    http.HandleFunc("/api/login", LoginHandler)
    log.Fatal(http.ListenAndServe(":8080", corsOpts(http.DefaultServeMux)))
}

注意：AllowedOrigins设为*会导致AllowCredentials失效，必须指定前端的具体域名。

4. 检查浏览器隐私设置 #

部分浏览器的隐私模式或第三方Cookie拦截规则会阻止SameSite=None的Cookie。可尝试关闭隐私模式，或在浏览器设置中允许该站点的第三方Cookie（本地开发的localhost一般不受限制）。

内容的提问来源于stack exchange，提问作者Gavra