为何Cookie被设置在前端localhost:3000而非后端localhost:8080？

核心原因：浏览器对localhost域名的Cookie处理逻辑 #

你看到的情况并不是Cookie被错误设置到了localhost:3000域名下，而是浏览器的正常展示和Cookie作用域规则导致的：

1. Cookie的Domain参数作用
   你在后端设置Cookie时指定了Domain: "localhost"，按照Cookie标准，Domain只包含主机名（不含端口），所以这个Cookie的作用域是所有localhost的端口——也就是说，只要请求的目标主机是localhost（不管是8080还是3000），浏览器都会认为这个Cookie符合匹配条件。

2. 开发者工具的展示逻辑
   浏览器开发者工具会在当前打开的站点（localhost:3000）下，列出所有Domain匹配当前站点域名（localhost）的Cookie，但这并不代表这个Cookie属于localhost:3000。实际上，这个Cookie仍然是由localhost:8080设置的，只有当你向localhost:8080发送请求时，浏览器才会自动携带这个Cookie（因为你在前端请求中设置了credentials: "include"）。

3. HostOnly属性的影响
   你的Cookie标记为HostOnly:true，这个属性的作用是禁止子域名共享Cookie，但localhost没有子域名，所以它不会影响跨端口的Cookie共享行为。

验证方式 #

你可以做个简单测试：

• 在localhost:3000的页面中，向localhost:3000自身发送请求，查看请求头，会发现这个Cookie不会被携带；
• 向localhost:8080发送请求时，请求头中会自动包含这个Cookie。

如何让Cookie仅关联localhost:8080 #

由于Cookie标准中不支持通过端口限制作用域，如果你希望Cookie尽可能只在localhost:8080的请求中生效，可以：

• 去掉SetCookie中的Domain参数（或者设为空字符串）：

  c.SetCookie("token", tokenString, int(expirationTime.Unix()), "/", "", false, true)
  

  此时浏览器会将Cookie标记为HostOnly，虽然Domain仍然是localhost，但开发者工具只会在localhost:8080的站点下显示这个Cookie，且仅当请求目标为localhost:8080时才会携带。

内容的提问来源于stack exchange，提问作者blank1729