跨域请求ASP.NET Core Web API时HttpOnly Cookie未发送的问题咨询

1. 配置正确的CORS策略 #

ASP.NET Core默认不允许跨域携带凭证，必须显式配置：

• 禁止使用AllowAnyOrigin()，它与AllowCredentials()冲突，需指定具体的前端域名
• 必须添加AllowCredentials()选项以允许携带Cookie等凭证

示例代码（.NET 6+ Program.cs）：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowFrontend", policy =>
    {
        policy.WithOrigins("https://your-frontend-domain.com") // 替换为你的前端实际域名
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键配置：允许跨域携带凭证
    });
});

// 注意：UseCors需放在UseRouting之后、UseAuthorization之前
app.UseCors("AllowFrontend");

2. 前端请求开启凭证携带 #

浏览器默认不会在跨域请求中发送Cookie，必须在请求里明确开启：

Fetch示例 #

fetch('https://your-api-domain.com/api/your-endpoint', {
    method: 'GET',
    credentials: 'include' // 跨域场景用include，同域可用same-origin
});

Axios示例 #

axios.get('https://your-api-domain.com/api/your-endpoint', {
    withCredentials: true
});

3. 检查Cookie的配置参数 #

Cookie的属性直接影响跨域请求能否携带：

• SameSite：跨域场景下不能设为Strict，建议设为None（需配合Secure=true，仅HTTPS环境生效）或Lax
• Secure：生产环境必须设为true，否则SameSite=None会被浏览器忽略
• Domain：若前端和API是同根域的子域（如frontend.example.com和api.example.com），需设置为.example.com，确保Cookie可跨子域共享
• HttpOnly：保持true即可，不影响跨域携带（其他配置正确的前提下）

示例代码（登录时设置Cookie）：

Response.Cookies.Append("AuthCookie", "your-token-value", new CookieOptions
{
    HttpOnly = true,
    Secure = true,
    SameSite = SameSiteMode.None,
    Domain = ".example.com", // 替换为你的根域
    Expires = DateTimeOffset.UtcNow.AddDays(7)
});

4. 排查浏览器限制 #

• 本地开发用HTTP时，SameSite=None会被浏览器忽略，可暂时设为Lax，或在浏览器中开启允许不安全的Cookie（仅开发环境使用）
• 打开浏览器控制台Network面板，查看请求头是否包含Cookie字段，同时检查Console标签页是否有CORS相关错误（比如"Credentials flag is 'true' but the 'Access-Control-Allow-Origin' header is not '*'"）

内容的提问来源于stack exchange，提问作者alireza jabari