Chrome未清除Django设置的Cookie？Logout操作异常排查求助

我在HTTPS站点尝试清除Cookie：登录成功后服务器已设置access_token Cookie，但调用Logout接口时，尽管响应头包含正确指令的Set-Cookie，Chrome仍未清除该Cookie。已在Firefox及隐身模式测试，相关代码如下：

登录接口代码 #

@api_view(['POST'])
def login(request):
    data = request.data
    email = data.get('email')
    password = data.get('password')
    
    if not email or not password:
        return JsonResponse({'error': 'Email and password are required'}, status=400)
    
    user = authenticate_user(email, password)
    
    if user is not None:
        token = RefreshToken.for_user(user)
        # Create response object
        response = JsonResponse({'message': 'Login successful'})
        
        # Set the token in a secure, HTTP-only cookie
        response.set_cookie(
            key='access_token',
            value=str(token.access_token),
            httponly=True,
            secure=True,  # Ensure you use HTTPS
            samesite='Lax',
            path='/',
            domain='my-domain.com'
        )
        
        return response
    else:
        # Authentication failed
        return JsonResponse({'error': 'Invalid credentials'}, status=401)

Logout接口代码 #

@api_view(['POST'])
def logout(request):
    # Create response object
    response = JsonResponse({'message': 'Logout successful'})
    
    response.set_cookie(
        'access_token',
        value='',
        max_age=0,
        path='/',
        secure=True,
        httponly=True,
        samesite='Lax',
        domain='my-domain.com'
    )
    
    return response

settings.py配置 #

SECURE_SSL_REDIRECT = True
SESSION_COOKIE_SECURE = True
CSRF_COOKIE_SECURE = True
SESSION_COOKIE_HTTPONLY = True
SESSION_COOKIE_SAMESITE = 'Lax'
SESSION_COOKIE_PATH = '/'
CSRF_COOKIE_PATH = '/'
SESSION_COOKIE_DOMAIN = 'my-domain.com'
CSRF_COOKIE_DOMAIN = 'my-domain.com'

前端Redux+Axios请求代码 #

const protectConfig = {
  headers: {
    'Content-Type': 'application/json',
  },
  withCredentials: true
};

export const logout = () => async dispatch => {
  dispatch(setAlert('Logged Out Successfully', 'success'));
  try {
    const { data } = await axios.post(
      process.env.REACT_APP_API_URL + API_LOGOUT,
      protectConfig
    );
    dispatch({
      type: LOGOUT,
      payload: data,
    });
  } catch (err) {
    dispatch(setAlert(err.response.data.detail, 'error'));
    dispatch({
      type: LOGOUT_FAIL,
    });
  }
};

可能的原因分析 #

1. 前端Axios请求参数错误（优先级最高） #

你当前的Axios POST请求写法有误：axios.post的第二个参数是请求体数据，第三个参数才是配置对象。现在你把protectConfig当成了请求体传入，导致withCredentials: true这个关键配置没有被应用。

浏览器在没有withCredentials: true的情况下，不会向服务器发送Cookie，也不会处理服务器返回的Set-Cookie头（尤其是跨域场景下）。修正写法：

const { data } = await axios.post(
  process.env.REACT_APP_API_URL + API_LOGOUT,
  {}, // 空请求体，因为Logout接口不需要传入数据
  protectConfig // 配置放在第三个参数位置
);

2. Cookie属性不完全匹配 #

清除Cookie时，必须和原Cookie的所有属性完全一致，包括domain、path、secure、httponly、samesite，否则浏览器会忽略清除指令：

• 检查domain设置：如果你的实际访问域名是子域名（比如www.my-domain.com或app.my-domain.com），而代码中设置的是my-domain.com，需要确保清除时的domain和登录时完全相同；如果登录时没有显式设置domain（默认是当前域名），清除时也不要设置，避免不匹配。
• 检查是否存在大小写差异：虽然域名不区分大小写，但尽量保证代码中domain的拼写完全一致。

3. Chrome站点数据缓存问题 #

Chrome有时会缓存Cookie或站点数据，导致清除指令不生效：

• 打开Chrome DevTools（F12），切换到Application标签页，在Cookies中找到你的域名，手动删除access_token后重新测试。
• 清除该站点的所有缓存数据：设置 → 隐私和安全 → 清除浏览数据 → 勾选“Cookie和其他网站数据”，完成后重新测试。

4. CORS配置缺失（跨域场景） #

如果前端和后端域名不同（包括子域名不同），需要确保Django的CORS配置正确：

• 安装并配置django-cors-headers，设置CORS_ALLOW_CREDENTIALS = True，同时在CORS_ALLOWED_ORIGINS中添加前端的完整域名（比如https://frontend.my-domain.com）。
• 没有正确配置CORS凭证的话，浏览器会拒绝处理服务器返回的Set-Cookie头。

5. Django Cookie设置细节 #

• 登录接口的set_cookie没有设置max_age或expires，默认是会话Cookie（关闭浏览器即失效）；Logout接口用max_age=0是正确的清除方式，但要确保其他属性完全匹配。
• 检查Django是否有其他中间件修改了Cookie属性，比如某些安全中间件可能自动调整domain或samesite值，导致清除时属性不匹配。

内容的提问来源于stack exchange，提问作者Warwick