带SameSite=None属性的Set-Cookie头未在浏览器存储Cookie问题

• 确保前端请求携带凭证
  发起跨域请求时，必须显式开启凭证携带：

  • Fetch API需设置credentials: 'include'
  • XMLHttpRequest需设置withCredentials: true
    示例代码：

  // Fetch 示例
  fetch('https://b.com/api/auth', {
    method: 'POST',
    credentials: 'include',
    body: JSON.stringify(/* 请求数据 */)
  });
  
  // XHR 示例
  const xhr = new XMLHttpRequest();
  xhr.open('POST', 'https://b.com/api/auth');
  xhr.withCredentials = true;
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.send(JSON.stringify(/* 请求数据 */));
  

• 配置PrestaShop正确的CORS响应头
  服务器必须返回允许跨域带凭证的头：

  • Access-Control-Allow-Origin必须设为请求源https://a.com，不能用通配符*
  • 必须包含Access-Control-Allow-Credentials: true
    可在PrestaShop根目录的.htaccess中添加：

  Header set Access-Control-Allow-Origin "https://a.com"
  Header set Access-Control-Allow-Credentials "true"
  

  若使用自定义模块处理请求，需在响应中直接设置这些头。

• 验证Cookie属性的正确性
  虽然你已设置SameSite=None; secure，仍需确认：

  • 浏览器版本支持SameSite=None（Chrome 80+、Firefox 69+等现代版本，旧版本会丢弃该Cookie）
  • 请求全程使用HTTPS，无HTTP降级情况（secure属性要求Cookie仅通过HTTPS传输）
  • 未错误设置Domain属性：若Set-Cookie中指定了Domain，必须是b.com或其子域名，不能设为a.com

• 排查浏览器隐私限制
  隐私模式或第三方Cookie禁用设置会阻止跨域Cookie存储，可切换到正常浏览器模式测试，或检查浏览器隐私设置是否允许第三方Cookie。

内容的提问来源于stack exchange，提问作者SpritS