本地开发Cookie问题：Chrome未携带子域请求Cookie且无Cookies标签

为什么Cookie没传到子域名foo.bar.local？ #

你当前的Cookie设置存在几个潜在问题，导致子域名无法获取该Cookie：

1. Secure属性的协议限制
   你给Cookie设置了secure: true，这意味着Cookie只能通过HTTPS请求传递。如果foo.bar.local是用HTTP访问的，浏览器会直接跳过这个Cookie，不会携带它发起请求。而bar.local如果是HTTPS协议，所以能正常显示Cookie。

2. Domain参数的匹配规则问题
   你设置的Cookie domain是bar.local，虽然理论上顶级域名的Cookie应该被子域名共享，但Chrome在处理.local这类自定义本地域名时，可能需要显式把domain设为.bar.local（带前置点）才能让子域名foo.bar.local识别到。这是部分浏览器对本地域的特殊处理逻辑，虽不符合RFC标准但实际存在。

3. SameSite属性缺失的跨站限制
   你没有设置SameSite参数，Chrome会默认使用SameSite=Lax模式。如果foo.bar.local的请求是从bar.local页面发起的跨域AJAX请求，Lax模式下浏览器会限制Cookie的传递。这种情况需要显式设置SameSite=None，但必须搭配secure: true（SameSite=None强制要求HTTPS）。

修改后的PHP代码示例：

$success = setcookie(
    'amc-jwt',
    $accessTokenString,
    time() + 60*60*24*30,
    '/',
    '.bar.local', // 改为带前置点的域名
    true,
    true,
    'None' // 添加SameSite参数
);

为什么foo.bar.local的请求没有Cookies选项卡？ #

当浏览器确定没有任何Cookie符合目标域名的传递规则时，Network面板里就不会显示“Cookies”选项卡。这是浏览器的优化逻辑，常见原因就是上面提到的协议不匹配、域名不匹配、SameSite规则限制这几种情况。

调试步骤 #

• 检查协议一致性：确认bar.local和foo.bar.local都使用HTTPS。如果是开发环境没有证书，可以用mkcert生成本地可信证书，或者临时把secure设为false（仅限开发，生产环境必须用HTTPS+secure）。
• 核对Cookie属性：在Chrome开发者工具的Application > Cookies > bar.local里，查看amc-jwt的Domain字段，确认是不是.bar.local。如果是bar.local，修改setcookie的domain参数。
• 查看控制台警告：打开Chrome的Console标签，搜索“Cookie”关键词，浏览器会直接提示Cookie无法传递的具体原因（比如“Cookie has secure attribute but is not over HTTPS”）。
• 用curl模拟验证：终端里用curl测试请求，手动携带Cookie看接口是否能识别：

  curl -v -H "Cookie: amc-jwt=你的Token值" https://foo.bar.local/目标接口路径
  

  也可以查看设置Cookie的响应头是否正确：

  curl -v https://bar.local/设置Cookie的页面路径
  

• 测试SameSite设置：临时把SameSite改成Lax或者None，观察Cookie是否能传递到子域名，再根据业务场景选择合适的取值。

内容的提问来源于stack exchange，提问作者andymel