WebView2无法传递HttpOnly Cookie问题求助

一、Cookie属性不匹配导致无法生效 #

从FullWebBrowserCookie获取的Cookie，经CreateCookieWithSystemNetCookie转换后，可能存在Domain/Path属性不匹配的问题——WebView2的CookieManager会严格校验这些属性，只有完全匹配请求URL的Cookie才会被携带。

解决方法：手动指定Cookie的Domain和Path，确保与报表页面的URL一致：

var sCookies = FullWebBrowserCookie.GetCookieInternal(new Uri(m_sSessionURL), false);
var targetUri = new Uri(m_sSessionURL);
foreach (var item in sCookies)
{
    var cookie = browser.CoreWebView2.CookieManager.CreateCookieWithSystemNetCookie(item);
    // 强制设置为目标域名
    cookie.Domain = targetUri.Host;
    // 全站生效设置为"/"，如果Cookie有特定路径则对应设置
    cookie.Path = "/";
    // 针对HTTPS场景设置Secure属性
    cookie.Secure = targetUri.Scheme == Uri.UriSchemeHttps;
    browser.CoreWebView2.CookieManager.AddOrUpdateCookie(cookie);
}

二、SameSite属性限制导致Cookie被拦截 #

如果自定义认证Cookie的SameSite属性为Strict或Lax，当报表页面在子框架或跨上下文请求时，Cookie可能被浏览器拦截。

解决方法：修改Cookie的SameSite属性为None（需配合Secure属性，HTTPS场景下生效）：

cookie.SameSite = CoreWebView2CookieSameSiteKind.None;

三、WebResourceRequested事件中Cookie头被覆盖 #

你当前的代码在循环中多次调用SetHeader("Cookie", ...)，会导致每次循环覆盖之前的Cookie值，最终只有最后一个Cookie被添加到请求头。

解决方法：先拼接所有需要的Cookie，再一次性设置请求头：

private void CoreWebView2_WebResourceRequested(object sender, CoreWebView2WebResourceRequestedEventArgs e)
{
    var m_sSessionURL = ConfigurationManager.AppSettings["SessionURL"];
    var sCookies = FullWebBrowserCookie.GetCookieInternal(new Uri(m_sSessionURL), false);
    // 筛选目标Cookie并拼接成标准Cookie头格式
    var cookieHeader = string.Join("; ", 
        sCookies.Where(x => x.Name.Contains("somevalue"))
                .Select(c => $"{c.Name}={c.Value}"));
    
    if (!string.IsNullOrEmpty(cookieHeader))
    {
        e.Request.Headers.SetHeader("Cookie", cookieHeader);
    }
}

注意：确保事件在CoreWebView2.Initialized之后注册，且AddWebResourceRequestedFilter的规则覆盖报表请求的所有URL（比如设置为报表域名而非*，减少不必要的拦截）。

四、证书弹窗问题处理 #

WebView2依赖系统证书存储，而CefSharp有独立的证书处理逻辑。可以通过CertificateError事件自动信任目标服务器证书：

browser.CoreWebView2.CertificateError += (sender, args) =>
{
    // 可添加证书校验逻辑，比如判断证书域名是否匹配
    if (args.Certificate.Issuer.Contains("你的企业CA名称"))
    {
        args.Handled = true;
        args.Action = CoreWebView2CertificateErrorAction.AlwaysAllow;
    }
};

也可以将服务器证书导入到系统受信任根证书颁发机构存储中，彻底消除弹窗。

内容的提问来源于stack exchange，提问作者Jaques