localhost下Cookie管理问题：跨端口Ajax调用无法删除Cookie

核心原因：跨端口Ajax属于跨源请求，浏览器安全策略限制了Cookie操作 #

1. 缺少CORS配置 #

不同端口属于不同源，当50030发起Ajax请求到60030时，服务器未明确允许跨源携带凭证，导致浏览器直接忽略响应中的Set-Cookie头，删除Cookie的指令无法生效。

2. 前端Ajax未开启凭证携带 #

若前端请求未配置携带凭证，浏览器既不会向60030发送现有Cookie，也不会接受响应中的Set-Cookie头，即便服务器执行了删除逻辑，浏览器也不会处理。

3. SameSite设置限制 #

当前Cookie的SameSite为LaxMode，该模式下跨源POST请求（Ajax常用POST）默认不允许Cookie的发送与设置操作，只有SameSite=None才能支持跨源场景下的Cookie交互（需配合已设置的Secure: true）。

解决方案 #

第一步：给60030服务添加CORS配置 #

在logout接口的处理逻辑开头添加CORS响应头处理：

// 在logout接口函数最上方添加
w.Header().Set("Access-Control-Allow-Origin", "https://dev.myDomain.com:50030") // 必须指定具体源，不能用*
w.Header().Set("Access-Control-Allow-Credentials", "true")
w.Header().Set("Access-Control-Allow-Methods", "POST, OPTIONS")
w.Header().Set("Access-Control-Allow-Headers", "Content-Type")

// 处理浏览器OPTIONS预检请求
if r.Method == http.MethodOptions {
    w.WriteHeader(http.StatusOK)
    return
}

第二步：修改前端Ajax请求，开启凭证携带 #

以JavaScript为例，调整请求配置：

fetch('https://dev.myDomain.com:60030/api/v1/logout', {
  method: 'POST',
  credentials: 'include', // 关键：开启凭证携带
  // 其他请求参数...
})

第三步：调整Cookie的SameSite设置（可选但建议） #

将Cookie的SameSite改为SameSiteNoneMode，确保跨源场景下Cookie正常交互：

http.SetCookie(w, &http.Cookie{
    Name:     "my_cookie",
    Value:    value,
    Path:     "/",
    Domain:   "dev.myDomain.com",
    Expires:  expires,
    HttpOnly: true,
    Secure:   true,
    SameSite: http.SameSiteNoneMode, // 修改此处
})

验证要点 #

1. 用浏览器开发者工具查看60030接口的响应头，确认包含Access-Control-Allow-Credentials: true和正确的Access-Control-Allow-Origin。
2. 检查前端请求头，确认已携带my_cookie。
3. 调用logout接口后，查看浏览器Cookie存储，确认my_cookie已被删除。

内容的提问来源于stack exchange，提问作者Emaborsa