浏览器Set Cookie无法持久化，跨路由请求未携带Cookie求助

以下是针对你遇到的问题的排查和解决步骤：

1. 修正CORS中间件配置 #

确保CORS配置不能使用通配符*作为origin，同时明确开启credentials：

const cors = require('cors');
// 替换为你的前端实际地址，比如http://localhost:3000
app.use(cors({
  origin: 'http://your-frontend-domain.com',
  credentials: true
}));

通配符*会和credentials: true冲突，导致浏览器拒绝保存Cookie。

2. 调整Cookie的SameSite与Secure属性 #

根据运行环境设置对应属性：

• 生产环境（HTTPS）：必须设置sameSite: 'None'和secure: true，否则跨域场景下浏览器不会发送Cookie
• 开发环境（HTTP）：设置sameSite: 'Lax'或Strict，同时关闭secure（HTTP协议不支持secure类型Cookie）

修改你的Cookie设置代码：

res.cookie("userID", `${userSaved._id}`, {
  maxAge: 900000,
  httpOnly: true,
  sameSite: process.env.NODE_ENV === 'production' ? 'None' : 'Lax',
  secure: process.env.NODE_ENV === 'production'
});

3. 验证Cookie存储与请求配置 #

• 打开浏览器开发者工具 → Application → Cookies，检查是否存在userID Cookie：
  • 如果未找到，查看Network标签的响应头，确认Set-Cookie格式是否为userID=xxx; Max-Age=900000; HttpOnly，格式错误会导致浏览器无法识别
• 确保所有需要携带Cookie的fetch请求都添加了credentials: 'include'：

  fetch('http://your-backend-domain/api/another-route', {
    method: 'GET',
    credentials: 'include'
  });
  

4. 检查浏览器隐私设置 #

部分浏览器的隐私模式或第三方Cookie阻止策略会影响跨域Cookie的发送：

• 暂时关闭浏览器隐私模式测试
• 若使用Chrome，可在chrome://settings/cookies中关闭"阻止第三方Cookie"选项（仅用于开发测试，生产环境需依赖SameSite和Secure配置）

内容的提问来源于stack exchange，提问作者NITIN RAI