适配Chrome禁用第三方Cookie：Node+React应用认证策略疑问

先明确第三方Cookie的核心判断逻辑 #

第三方Cookie的本质就是：Cookie的设置域名和当前页面的域名不一致。举个实际例子：

• 你在a.com的页面上请求b.com的接口，b.com给你设置的Cookie就是第三方Cookie；
• 如果是a.com的页面请求同主域名下的接口（比如子域名api.a.com），设置的Cookie都属于第一方，不会被Chrome的第三方限制影响。

针对你的JWT凭证Cookie的判断 #

• 如果你的React前端和Node后端是同主域名（含子域名）：比如前端是app.yourdomain.com、后端是api.yourdomain.com，那后端设置的带凭证的Cookie属于第一方，完全不受Chrome限制，不用调整现有策略。
• 如果前端和后端是完全不同的主域名：比如前端是your-front.com、后端是your-api.com，那这个Cookie就是第三方的，会被Chrome限制，必须调整认证策略。

跨主域名场景的调整方案 #

• 临时过渡方案：给Cookie添加HttpOnly; SameSite=None; Secure属性，不过Chrome后续会逐步收紧第三方Cookie权限，这个方案只能短期应急。
• 长期方案1：把JWT放在请求头的Authorization: Bearer <token>中，前端登录后将JWT存在localStorage或sessionStorage，每次请求手动把token加到请求头里。注意要做好XSS防护，避免token被盗取。
• 长期方案2：搭建同域名的后端代理，前端所有请求先发给这个代理服务，再由代理转发到实际的API域名，这样Cookie就变成第一方的，彻底规避第三方限制。

内容的提问来源于stack exchange，提问作者Eulavo