Flask客户端会话Cookie未保存求助：跨子域Cookie设置问题

问题原因 #

当前的Cookie配置存在两个核心问题：

1. SameSite=Strict：该规则下，仅当请求发起页面与Cookie域名完全一致时，Cookie才会被保存/传递。example.com的页面请求service.example.com属于跨子域，Strict会阻止Cookie存储。
2. Cookie域名未设置为父域：默认情况下Flask设置的Cookie域名是service.example.com，example.com无法共享该Cookie。

解决方案 #

1. 修改Flask的Cookie配置 #

调整Flask应用的会话Cookie参数，让跨子域场景下Cookie能被正确保存：

from flask import Flask, session

app = Flask(__name__)
app.secret_key = 'your-own-secret-key'  # 必须设置，用于加密会话内容

# 核心配置修改
app.config['SESSION_COOKIE_DOMAIN'] = '.example.com'  # 允许所有子域（含example.com）共享Cookie
app.config['SESSION_COOKIE_SAMESITE'] = 'Lax'  # 替代Strict，允许跨子域GET请求携带Cookie
app.config['SESSION_COOKIE_SECURE'] = True  # 保持HTTPS环境下的Cookie安全要求
# 若不需要前端JS读取Cookie，建议保持SESSION_COOKIE_HTTPONLY=True（默认值），更安全
# app.config['SESSION_COOKIE_HTTPONLY'] = True

@app.route('/get-content')
def get_content():
    session['custom_cookie'] = "blaah"
    return "Content from service.example.com"

2. 前端请求添加凭证参数 #

使用JavaScript发起请求时，必须携带凭证标识，否则浏览器不会保存服务器返回的Cookie：

// 以fetch为例
fetch('https://service.example.com/get-content', {
    method: 'GET',
    credentials: 'include'  // 关键：告知浏览器携带并保存Cookie
})
.then(res => res.text())
.then(data => console.log(data))
.catch(err => console.error(err));

关键配置说明 #

• SESSION_COOKIE_DOMAIN: 设为.example.com（注意开头的点），实现父域与所有子域间的Cookie共享。
• SESSION_COOKIE_SAMESITE:
  • Lax：允许跨子域的GET请求传递Cookie，兼顾安全与跨域需求；
  • 若需要更宽松的跨域（如POST请求），可设为None，但必须配合SESSION_COOKIE_SECURE=True，且需浏览器支持。
• credentials: 'include': 前端请求必须添加此参数，否则浏览器会忽略跨域请求中的Cookie相关操作。

注意事项 #

• 必须在HTTPS环境下运行，因为SESSION_COOKIE_SECURE=True要求Cookie仅通过HTTPS传输。
• 若不需要前端JavaScript读取Cookie，保留SESSION_COOKIE_HTTPONLY=True可避免XSS攻击风险。

内容的提问来源于stack exchange，提问作者Taavi Ansper