Firefox中跨域Fetch请求未携带SameSite=None Cookie问题排查

核心原因分析 #

Firefox对SameSite=None的跨域Cookie校验逻辑比Chrome更严格，结合你的场景，主要排查以下几点：

1. 增强跟踪保护（ETP）拦截 #

Firefox默认开启的增强跟踪保护会自动拦截被归类为“跨站跟踪器”的Cookie，即便你设置了SameSite=None; Secure。如果defender.local被Firefox的跟踪保护规则标记为跟踪相关站点，Cookie会被直接拦截。

2. Cookie域名匹配的严格校验 #

虽然Chrome能正常识别.defender.local这类泛域名规则，但Firefox对Cookie域名的解析更严谨：

• 确认请求目标域名defender.local完全匹配Cookie的Domain=.defender.local规则，无额外子域名偏差
• 本地测试场景下，Firefox对.local后缀域名可能有特殊处理，建议改用.test或.localhost后缀做测试

3. SameSite=None的额外约束 #

Firefox处理SameSite=None时，除了要求Cookie带Secure属性、请求双方均为HTTPS外，还禁止页面存在混合内容（如嵌入HTTP资源），否则Cookie会被拦截。

4. Fetch请求参数的补充验证 #

虽然你已设置credentials: 'include'，但可以尝试显式添加mode: 'cors'（Fetch默认是该模式，但部分场景下Firefox可能需要显式声明）：

fetch('https://defender.local', {
  method: 'post',
  credentials: 'include',
  mode: 'cors'
});

验证步骤 #

• 临时关闭增强跟踪保护：进入设置→隐私与安全→增强跟踪保护，切换为“无”后重新测试
• 打开Firefox开发者工具，在「存储」面板确认secure-cookie是否被正确存储
• 在「网络」面板查看请求的Cookie头，同时检查控制台是否有Cookie拦截相关警告

内容的提问来源于stack exchange，提问作者harvzor