跨域Set-Cookie未生效问题：React前端无法获取Spring后端Cookie

1. 域名配置不匹配 #

你预期Cookie出现在valyriansafe.web.app，但后端设置的Cookie Domain是valyrian.web.app，这两个是完全独立的域名。浏览器只会将Cookie存储到与Domain字段完全匹配（或其子域名）的站点下，所以当前配置下Cookie只会关联到valyrian.web.app，而非valyriansafe.web.app。

若确实需要Cookie绑定到valyriansafe.web.app，需修改后端代码中的Domain设置：

cookie.setDomain("valyriansafe.web.app");

2. 前端请求未开启跨域凭证携带 #

跨域场景下，前端发送请求时必须显式开启凭证携带配置，否则浏览器会自动忽略响应中的Set-Cookie字段。

• 若使用axios：

axios.post('https://back-i2pj.onrender.com/api/auth/signin', requestData, {
  withCredentials: true
})

• 若使用fetch API：

fetch('https://back-i2pj.onrender.com/api/auth/signin', {
  method: 'POST',
  credentials: 'include',
  // 其他请求配置（如headers、body）
})

3. Spring中SameSite属性设置方式错误 #

你通过cookie.setAttribute("SameSite", "None")设置SameSite属性的方式，在Spring环境中可能无法被浏览器正确识别。正确的设置方式分版本：

• Spring Boot 2.6及以上版本，直接使用Cookie类的原生方法：

cookie.setSameSite(SameSite.NONE.getValue());

• 低版本Spring可通过直接拼接响应头实现：

response.addHeader("Set-Cookie", String.format("%s=%s; Max-Age=%d; Domain=%s; Path=/; Secure; SameSite=None", 
  key, value, cookie.getMaxAge(), cookie.getDomain()));

注意：SameSite=None必须配合Secure属性（你已配置），否则浏览器会拒绝存储该Cookie。

4. 后端CORS配置未允许跨域凭证 #

跨域场景下，后端必须在CORS配置中指定允许的前端域名，并开启凭证支持。示例Spring配置：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOrigins("https://valyrian.web.app") // 必须指定精确前端域名，不能用*
                .allowedMethods("POST", "GET", "PUT", "DELETE")
                .allowCredentials(true) // 必须开启此选项
                .maxAge(3600);
    }
}

内容的提问来源于stack exchange，提问作者Aniket soni