跨域请求设置Cookie后浏览器不携带Cookie问题求助

• 检查Cookie的Path匹配性：你的Set-Cookie指定Path为/refresh，后续请求路径也是/refresh，但要在浏览器开发者工具的Application -> Cookies -> second.mydomain.com里确认实际存储的refreshToken的Path是否正确，避免响应头里的Path存在拼写或格式错误（比如多写斜杠）。
• 确认Secure属性的生效条件：虽然两个域名都是HTTPS，但要检查本地开发环境的HTTPS是否被浏览器认可（比如自签名证书是否添加信任），如果浏览器判定连接不安全，会忽略带Secure标记的Cookie。
• 验证CORS响应头完整性：
  • 确保Access-Control-Allow-Origin是具体的源（https://dev.mydomain.com），不能用*（带凭证的跨域请求不允许通配符）；
  • 必须包含Access-Control-Allow-Credentials: true响应头，在verifyToken请求的Network面板里确认这两个字段是否存在且正确。
• 核对Domain属性设置：即使默认是second.mydomain.com，也去Application面板里查看Cookie的Domain字段是否准确，避免手动设置时误写为主域名（dev.mydomain.com），或者错误添加前置点（.second.mydomain.com）导致浏览器识别异常。
• 检查axios的withCredentials配置：
  • 确认单个请求的{withCredentials: true}没有被全局配置或请求拦截器覆盖，也可以尝试全局设置axios.defaults.withCredentials = true测试；
  • 验证refreshPath是否正确指向https://second.mydomain.com/refresh，避免路径拼写错误。
• 排查浏览器第三方Cookie限制：部分浏览器（如Chrome）会限制第三方Cookie，即使是同主域名的子域名，也可能被判定为第三方。可以在Application面板里查看该Cookie是否被标记为“阻止”，或者检查浏览器隐私设置中是否允许第三方Cookie。
• 确认SameSite=None的格式：必须是SameSite=None（首字母大写），如果写成小写none，部分浏览器无法识别，会自动转为Lax或Strict，导致Cookie无法跨域携带。
• 检查请求模式：确保WebComponent发起的请求模式为cors（axios默认模式），在Network面板的请求详情里查看“Mode”字段，避免被设置为no-cors（该模式下无法携带凭证）。

内容的提问来源于stack exchange，提问作者Alexander M.