登录成功后使用Fetch请求时浏览器未携带Cookie问题排查

1. 修复Set-Cookie的格式错误 #

你的Set-Cookie头存在语法问题：Cookie属性之间必须用分号分隔，逗号是用来分隔多个独立Cookie的。原配置里SameSite=None, HttpOnly的逗号会被浏览器误解析为Cookie值的一部分，导致SameSite和HttpOnly属性失效，直接影响Cookie的存储与携带逻辑。

修正后的Set-Cookie格式应为：

Set-Cookie: token=eyJhbG34SAmOgmnfmvjBP6OfhwVyftgHnc; Secure; HttpOnly; SameSite=None; Max-Age=432000

2. 补充Domain属性（核心修复点） #

由于前后端域名不同，必须显式指定Cookie的Domain属性为两者的公共父域名，否则浏览器会将Cookie绑定到后端域名，前端跨域请求时不会自动携带。

例如：

• 若前端域名是https://app.mydomain.de，后端是https://api.mydomain.de，则设置Domain=.mydomain.de
• 若前端是顶级域名https://mydomain.de，后端是https://api.mydomain.de，同样设置Domain=.mydomain.de

修正后的完整Set-Cookie：

Set-Cookie: token=eyJhbG34SAmOgmnfmvjBP6OfhwVyftgHnc; Secure; HttpOnly; SameSite=None; Domain=.mydomain.de; Max-Age=432000

3. 清理冗余的CORS头配置 #

Access-Control-Allow-Headers中包含Set-Cookie是多余的——Set-Cookie是后端响应头，并非前端请求会发送的字段，移除该条目可避免浏览器解析混淆：

Access-Control-Allow-Headers: Content-Type, Authorization, Cookie, Origin, X-Dev-Token, Bearer, Accept

4. 验证所有请求的credentials设置 #

确保所有需要携带Cookie的后续请求都正确配置了credentials: "include"，不能仅在登录请求中设置：

fetch('https://api.mydomain.de/your-api-path', {
  method: 'GET',
  credentials: 'include'
})

5. 检查浏览器隐私设置 #

确认浏览器未开启"阻止第三方Cookie"功能，现代浏览器默认对跨域Cookie有严格限制，但SameSite=None; Secure的正确配置可以绕过该限制。

内容的提问来源于stack exchange，提问作者Benny Alex