React无法保存Session Cookie，Flask后端配置问题求助

1. 修复跨域核心配置 #

当前Access-Control-Allow-Origin: *的配置在跨域带Cookie场景下无效，浏览器会直接拒绝。必须改成前端的具体域名，同时添加允许携带凭证的头：

@app.after_request
def add_security_headers(response):
  # 替换成你的React实际域名，比如本地开发的http://localhost:3000
  response.headers['Access-Control-Allow-Origin'] = 'http://localhost:3000'
  response.headers['Access-Control-Allow-Credentials'] = 'true'
  # 保留其他安全头配置
  response.headers['Strict-Transport-Security'] = 'max-age=31536000; includeSubDomains;preload'
  response.headers['X-Content-Type-Options'] = 'nosniff'
  response.headers['X-Frame-Options'] = 'SAMEORIGIN'
  response.headers['Referrer-Policy'] = 'same-origin'
  return response

2. 开启React请求的凭证携带 #

前端发送请求时，必须明确告诉浏览器要携带Cookie：

• 用fetch的写法：

fetch('https://your-api-domain/oauth', {
  method: 'GET',
  credentials: 'include'
})

• 用axios的写法：

axios.get('https://your-api-domain/oauth', {
  withCredentials: true
})

3. 适配本地开发的HTTPS配置 #

你设置了SESSION_COOKIE_SECURE = True，这会让Cookie仅在HTTPS环境下保存。如果本地开发是HTTP协议（比如React跑在http://localhost:3000），需要暂时关闭这个配置：

app.config['SESSION_COOKIE_SECURE'] = False  # 上线后务必改回True

4. 调整SameSite策略（按需） #

如果前端和API是完全跨域的，Lax模式可能导致Cookie无法保存，测试时可以临时切换为None（注意必须配合Secure属性，上线后建议调回Lax）：

app.config['SESSION_COOKIE_SAMESITE'] = 'None'

内容的提问来源于stack exchange，提问作者ufo361