Firefox中跨域Cookie未在存储栏显示的问题排查求助

1. Cookie是否应存储在mywebsite.com下？ #

不会。Cookie的存储完全由其domain属性决定，你设置的domain是myapi.com，浏览器只会把这个Cookie绑定到myapi.com域名下，和跳转来源mywebsite.com没有关系。

2. Cookie的domain设置（myapi.com）是否正确？ #

正确。因为这个Cookie是由myapi.com服务端设置的，绑定自身域名后，后续任何向myapi.com发送的请求（包括从mywebsite.com发起的跨域请求），只要符合Cookie的其他规则，都会自动携带这个Cookie。

3. 需检查的配置确保Cookie生效 #

• SameSite属性：Firefox对SameSite的限制很严格，若未设置或设为Strict，通过跳转场景设置的Cookie可能无法被存储。建议根据场景调整：
  • 跳转场景用SameSite=Lax（默认值，允许跨站跳转时携带）；
  • 若需要跨域AJAX请求携带，设为SameSite=None（必须同时搭配Secure属性）。
• Secure属性的适配：确保myapi.com使用HTTPS协议，Secure属性要求Cookie仅通过HTTPS传输，HTTP环境下浏览器会直接忽略这类Cookie的存储。
• Firefox第三方Cookie权限：检查浏览器隐私设置（about:preferences#privacy），如果开启了“增强跟踪保护”，可能会拦截跨域场景下的第三方Cookie。可以尝试把myapi.com加入例外列表测试。
• Cookie的Path属性：若设置了Path（比如Path=/auth），只有访问myapi.com对应路径下的资源才会携带Cookie。建议设为Path=/，让Cookie在整个myapi.com域名下生效。
• Set-Cookie的响应时机：确认myapi.com在跳转回mywebsite.com之前，已经通过2xx状态码的响应发送了Set-Cookie头，部分浏览器会忽略3xx跳转响应中的Set-Cookie。
• HttpOnly的误解：HttpOnly只是禁止通过JS读取Cookie，但存储标签里应该能看到它。如果存储标签完全没显示，说明Cookie根本没被存储，和HttpOnly无关。

内容的提问来源于stack exchange，提问作者EnenDaveyBoy