跨域LocalStorage下iframe登录状态不一致问题求助

注入iframe的JavaScript代码：

const AppIframe = document.createElement("iframe");
AppIframe.id = "iframeA";
AppIframe.title = "iframeA";
AppIframe.src = "https://example.com";
AppIframe.style.width = "100%";
AppIframe.style.height = "100%";

// ...

popup.appendChild(AppIframe);

核心因素：Cookie安全策略限制 #

AWS Cognito认证Cookie无法在跨域iframe中正常携带，是导致部分电脑同步失败的核心原因，具体涉及以下几点：

• SameSite Cookie属性：若Cognito Cookie的SameSite设为Strict或Lax，Chrome会限制其在跨域iframe上下文的传递。Strict完全禁止跨站场景携带Cookie，Lax仅允许顶级导航（如直接跳转）时携带，iframe属于嵌套上下文，不符合要求。不同电脑的浏览器版本、默认设置差异，会导致SameSite规则的生效逻辑不同。
• Cookie Domain属性配置：若Cognito Cookie的Domain未设置为覆盖主站example1.com和iframe域名example.com的公共父域，或配置错误，浏览器会拒绝在跨域iframe中发送该Cookie。无公共父域的两个域名，原生不支持Cookie跨域共享。
• 浏览器第三方Cookie拦截：部分电脑可能开启了Chrome的严格隐私保护模式，直接拦截跨域iframe中的第三方Cookie，导致Cognito认证Cookie无法被iframe页面获取。未开启该设置的电脑则可正常同步登录状态。
• CORS的间接影响：你怀疑的CORS并非核心原因，CORS主要管控AJAX跨域请求权限，iframe的Cookie传递更多受SameSite、第三方Cookie策略约束。但如果example.com的CORS配置未允许example1.com来源，可能间接干扰登录同步逻辑，但并非主因。

额外排查方向 #

• 对比Chrome版本：不同版本对SameSite属性的默认处理不同，旧版本可能默认规则较松，新版本会强制Lax级别。
• 检查Cookie属性：在Chrome开发者工具的Application面板中，对比正常与异常电脑上Cognito Cookie的SameSite、Domain、Secure等属性是否一致。
• 测试隐私模式：在异常电脑开启Chrome隐私模式，验证是否能正常同步，排除本地Cookie缓存或扩展程序干扰。

内容的提问来源于stack exchange，提问作者Mowgli Is Famous