.NET Core CORS响应缺失Set-Cookie头，客户端无法获取

核心原因 #

CORS规范默认不会向客户端暴露Set-Cookie这类敏感响应头，即便你配置了允许所有源或所有请求头，也必须显式指定要暴露的响应头。

服务器端配置修正（ASP.NET Core） #

在Program.cs的CORS配置中，必须添加WithExposedHeaders("Set-Cookie")，示例代码如下：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader()
              // 显式将Set-Cookie头暴露给客户端
              .WithExposedHeaders("Set-Cookie");
    });
});

// 启用CORS中间件（注意要放在路由和授权中间件之前）
app.UseCors("AllowAll");

额外注意事项 #

• 跨域场景下，Cookie需满足：
  • SameSite属性设置为None（跨域请求必须）
  • 同时启用Secure属性（SameSite=None要求HTTPS环境，本地开发可使用localhost的HTTPS）
• 客户端获取头时，建议用response.headers.get('Set-Cookie')方法，而非直接打印整个headers对象——部分浏览器会对敏感头做隐藏，通过get方法才能正确读取。

内容的提问来源于stack exchange，提问作者hardcoreart