浏览器中Session Cookie无法保留的技术问题求助

核心问题分析 #

你的问题根源在于CORS配置错误和跨域凭证（Cookie）传递规则不匹配，具体包括：

1. Access-Control-Allow-Origin: * 与 Access-Control-Allow-Credentials: true 冲突——浏览器不允许同时使用通配符和凭证传递
2. Access-Control-Allow-Methods 拼写错误（OPTION 应为 OPTIONS）
3. OPTIONS预请求未返回完整的CORS响应头就直接终止
4. Fetch请求未正确配置凭证传递参数

步骤1：修正CORS响应头配置 #

替换现有CORS头代码，必须指定具体的Origin而非通配符，同时修正方法拼写：

// 配置允许的域名列表，包含生产环境和本地开发环境
$allowedOrigins = [
    'https://www.coopratings.fr',
    'http://localhost:63342'
];
$origin = isset($_SERVER['HTTP_ORIGIN']) ? $_SERVER['HTTP_ORIGIN'] : '';

// 仅允许列表内的Origin访问
if (in_array($origin, $allowedOrigins)) {
    header("Access-Control-Allow-Origin: {$origin}");
}

header('Access-Control-Allow-Methods: POST, OPTIONS');
header('Access-Control-Allow-Headers: Content-Type, Authorization, X-Requested-With, Accept');
header('Access-Control-Allow-Credentials: true');
header('Access-Control-Max-Age: 86400'); // 缓存预请求结果，减少重复OPTIONS请求

步骤2：正确处理OPTIONS预请求 #

不要直接exit()，需返回200状态码和完整CORS头：

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    http_response_code(200);
    exit();
}

步骤3：调整Session Cookie配置（确保跨域兼容性） #

动态适配HTTPS和本地开发场景，避免域名不一致导致Cookie无法存储：

public static function startSession(){
    $maxlifetime = 3600;
    // 动态判断当前是否为HTTPS环境
    $secure = isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on';
    $httponly = true;
    $samesite = 'None';
    $domain = $_SERVER['HTTP_HOST'];
    
    // 本地localhost环境无需设置domain，否则会导致Cookie无法存储
    if (strpos($domain, 'localhost') !== false) {
        $domain = '';
    }

    if(PHP_VERSION_ID < 70300) {
        session_set_cookie_params($maxlifetime, '/; samesite='.$samesite, $domain, $secure, $httponly);
    } else {
        session_set_cookie_params([
            'lifetime' => $maxlifetime,
            'path' => '/',
            'domain' => $domain,
            'secure' => $secure,
            'httponly' => $httponly,
            'samesite' => $samesite
        ]);
    }

    session_start();
}

步骤4：修正Fetch请求配置 #

必须同时设置credentials: 'include'，确保Cookie随请求传递：

// 根据环境切换基础URL
const baseUrl = 'https://www.coopratings.fr/Rest_API/api/';

return fetch(baseUrl + request, {
    method: type,
    body: body,
    credentials: 'include', // 关键：携带跨域Cookie
    headers: {
        "Content-Type": "application/json",
    }
})
.then(res => {
    if (!res.ok) {
        throw new Error('请求失败');
    }
    return res.json();
})

额外验证点 #

1. 检查浏览器控制台的Cookie存储：确认PHPSESSID的Domain、Path、SameSite属性与配置一致
2. 本地开发时，确保phpStorm的服务域名（localhost:63342）已加入允许的Origin列表
3. 测试前清除浏览器缓存和Cookie，避免旧配置干扰

内容的提问来源于stack exchange，提问作者Batap