已设置HttpOnly为false仍无法读取Cookie问题求助

• 先确认Set-Cookie响应头的实际内容
  打开浏览器开发者工具的Network面板，找到/authenticate/token请求的响应头，查看Set-Cookie字段的完整值，确认HttpOnly=false是否真的存在——有时候代码里设置了，但网关、CloudFront这类中间环节可能会偷偷修改这个属性。

• 补全Cookie的SameSite、Secure、Path属性
  浏览器对Cookie的限制越来越严格，缺省属性很可能导致JS无法读取：

  • 如果是HTTPS环境（CloudFront通常会配置HTTPS），必须给Cookie加上Secure=true，否则浏览器可能限制JS访问；
  • 跨域场景下（前端页面和接口域名不同），要设置SameSite=None，且必须配合Secure=true（这是浏览器强制要求）；
  • 把Path设为/，避免因路径限制导致页面无法读取Cookie。
    修改后的代码示例：

  ResponseCookie.from("tmtools_token", it.token)
      .httpOnly(false)
      .secure(true)
      .sameSite("None")
      .path("/")
      .build()
  

• 检查Domain属性是否匹配
  如果前端页面和接口的域名不一致（比如前端是app.tmtools.com，接口是api.tmtools.com），必须显式设置Domain为父域名（比如.tmtools.com），这样子域名下的页面才能读取到该Cookie。添加后的代码：

  ResponseCookie.from("tmtools_token", it.token)
      .httpOnly(false)
      .secure(true)
      .sameSite("None")
      .domain(".tmtools.com")
      .path("/")
      .build()
  

• 排查CloudFront的配置干扰

  • 检查CloudFront的Response Headers Policy，确认有没有修改Set-Cookie头的规则，比如是否自动添加了HttpOnly属性；
  • 查看Origin Request Policy，确保允许源站返回的Set-Cookie头正常透传到浏览器；
  • 确认缓存行为里没有对Set-Cookie进行缓存或篡改，比如缓存策略是否排除了Cookie相关的规则。

• 用原生JS验证读取能力
  先抛开js-cookie库，直接用原生JS测试：

  console.log(document.cookie);
  

  如果原生JS也读不到tmtools_token，说明是Cookie属性或配置问题；如果原生能读到但js-cookie不行，检查库的调用参数是否正确（比如是否指定了匹配的Domain或Path）。

内容的提问来源于stack exchange，提问作者Clarence the Bard