未设置SameSite的HttpOnly Cookie能否发送至跨域API？

核心结论 #

未显式设置SameSite属性的Cookie，默认不会随跨域POST请求发送。现代浏览器（Chrome 80+、Firefox 69+等）会自动将未指定SameSite的Cookie视为SameSite=Lax，而Lax模式仅允许在同站请求或跨站GET请求中携带Cookie，跨站POST请求会被拦截。

原因分析 #

你已经配置了fetch的credentials: include，且预检请求返回了正确的CORS头，但Cookie仍未携带，核心原因就是浏览器对未设置SameSite的Cookie的默认处理规则——Lax模式阻止了跨站POST请求携带Cookie。

解决方案 #

要让跨域POST请求携带该Cookie，需要完成以下两步：

1. 修改Cookie的属性设置 #

将目标Cookie的属性调整为：

• SameSite=None：明确允许跨站请求携带该Cookie
• Secure：必须搭配SameSite=None使用，仅允许在HTTPS环境下传输（你的场景已经是HTTPS，符合要求）
• 确保Domain和Path设置正确：如果Cookie是在client.example.com设置的，若要发送到api.somedifferentdomain.com（完全不同域名），Domain无需额外设置（保持为client.example.com即可），但必须满足SameSite=None + Secure的要求；如果是同父域下的子域名，可设置Domain为公共父域（如.example.com）增强通用性。

2. 确认CORS配置的正确性 #

虽然你提到预检请求已返回正确头，但再次确认API服务器（api.somedifferentdomain.com）的响应头：

• Access-Control-Allow-Origin必须是具体的客户端域名（https://client.example.com），不能使用通配符*
• Access-Control-Allow-Credentials: true必须存在

额外说明 #

• HttpOnly属性不影响Cookie的发送：它只是禁止JavaScript读取Cookie内容，浏览器会自动在符合规则的请求中携带该Cookie。
• 旧版浏览器兼容：如果需要兼容不支持SameSite=None的旧浏览器（如IE），可以通过服务器端的User-Agent判断，针对这些浏览器不设置SameSite=None，但现代Web应用中这一需求已较少。

内容的提问来源于stack exchange，提问作者sham999