生产环境下Set-Cookie无法设置浏览器Cookie的问题求助

问题根源 #

你设置的Cookie domain 属性包含了协议前缀（https://），浏览器会判定这个域名格式无效，因此拦截了Cookie的设置。浏览器要求Cookie的domain字段只能是纯域名（如my-frontend-url.com），不能包含http://或https://协议头。

修复步骤 #

修改后端res.cookie的domain配置，去掉协议前缀：

if (isPasswordValid === true) {
        jwt.sign({ username, id: userDoc._id }, secret, (error, token) => {
          if (error) throw error;
          res.cookie("token", token, { 
            httpOnly: true, 
            domain: "my-frontend-url.com", // 移除https://前缀
            sameSite: "none",
            secure: true,
          }).status(200).json({
            message: "User have been logged in successfully",
            id: userDoc._id,
            username,
            authorname: userDoc.authorname,
          });
        });

额外验证项 #

1. CORS配置确认：确保CORS的origin配置和前端实际域名完全一致，包括协议（https）和端口（如果有）。你当前配置的["https://my-frontend-url.com", "http://localhost:3000"]是正确的，但要保证生产环境前端确实使用https://my-frontend-url.com访问。
2. SameSite与Secure关联：因为设置了sameSite: "none"，必须同时开启secure: true（你的配置已满足），这是浏览器的强制要求，否则Cookie仍会被拦截。
3. 前端Credentials配置：你的fetch请求已设置credentials: "include"，跨域场景下必须开启该配置才能携带Cookie，当前设置无误。

补充说明 #

如果后端和前端属于不同子域名（比如后端是api.my-frontend-url.com，前端是my-frontend-url.com），可将domain设置为.my-frontend-url.com（注意前缀的点），实现Cookie在所有子域名下共享；如果是完全独立的域名，直接设置为前端纯域名即可。

内容的提问来源于stack exchange，提问作者Zakhar Vdovchenko