跨域名场景下客户端无法将认证服务器颁发的access_token Cookie发送至主服务器的问题排查

看起来你碰到了典型的跨域Cookie共享坑——毕竟B（认证服务器）和C（主服务器）是不同域名，浏览器的同源策略会严格限制Cookie的跨域传递。我帮你梳理几个优先级最高的排查点，按顺序来试：

1. Cookie的Domain属性未配置（最可能的根因） #

你在B服务器设置Cookie的代码里，没指定domain属性：

res.cookie("access_token", token, {
  httpOnly: true,
  secure: true,
  maxAge: 86400000,
  sameSite: "none"
});

默认情况下，Cookie的Domain会被设为B的完整域名，这意味着只有请求B域名时浏览器才会带这个Cookie。要让A请求C时也能带上它，你得把Domain设置为B和C共同的父域名（比如B是auth.example.com、C是api.example.com，那Domain就设为.example.com）。修改后的代码应该是：

res.cookie("access_token", token, {
  httpOnly: true,
  secure: true,
  maxAge: 86400000,
  sameSite: "none",
  domain: ".your-shared-parent-domain.com" // 替换成实际的父域名
});

注意：Domain必须是B域名的父域，不能随便填无关域名，浏览器会直接拒绝这种不合法的设置。

2. C服务器的CORS配置不支持凭证传递 #

因为你开启了withCredentials: true，C服务器必须在响应头里配置两个关键项：

• Access-Control-Allow-Credentials: true：明确允许跨域请求携带凭证（包括Cookie）
• Access-Control-Allow-Origin：不能设为*，必须是客户端A的具体域名（比如https://client.example.com），通配符和凭证传递不能同时生效

如果C用的是Node.js/Express，对应的CORS配置大概是这样：

const cors = require('cors');
app.use(cors({
  origin: 'https://your-client-domain.com', // 替换成A的实际域名
  credentials: true
}));

3. 验证SameSite和Secure的配合是否合规 #

你已经设置了sameSite: "none"和secure: true，这是跨域Cookie的必要组合，但要注意：

• 必须确保所有请求都是HTTPS协议，本地测试如果用HTTP的话，secure: true会导致浏览器不保存这个Cookie
• 旧版本Chrome（80之前）对SameSite: None的支持有问题，不过现在基本不用考虑兼容这类旧版本了

4. 客户端axios配置的细节检查 #

确认你的axios请求确实正确开启了withCredentials: true，比如可以全局配置避免单个请求遗漏：

// 全局配置（更省心）
axios.defaults.withCredentials = true;

// 单个请求也要确保配置正确
await axios.post(`${url}`, {body}, { withCredentials: true });

排查顺序建议先查Domain属性，这是最容易忽略也最常见的问题，再检查CORS配置，最后验证客户端和HTTPS环境。

备注：内容来源于stack exchange，提问作者User