Go聊天应用localhost端口间Cookie无法传递的问题求助

你的问题核心是localhost跨端口的Cookie跨源共享规则限制，导致浏览器不保存、不携带Cookie，结合Go的net/http库，给你几个直接落地的解决办法：

1. 修正Cookie的核心属性设置 #

浏览器对Cookie的Domain、SameSite、Path属性有严格校验，尤其是跨端口场景：

• Domain属性：必须设为"localhost"，不能带端口（比如localhost:8081会被浏览器直接忽略），这样不同端口的localhost服务才能共享Cookie。
• SameSite属性：开发环境跨端口属于跨源请求，设置为http.SameSiteLaxMode（HTTP环境下不能用SameSiteNoneMode，因为它要求Secure属性，HTTP环境下无效）。
• Path属性：设为"/"，确保auth_server所有接口都能匹配到该Cookie，避免仅特定路径可访问。

Go代码设置Cookie的示例：

func loginHandler(w http.ResponseWriter, r *http.Request) {
    // 生成accessToken和refreshToken的业务逻辑...
    
    // 设置accessToken Cookie
    accessCookie := &http.Cookie{
        Name:     "accessToken",
        Value:    accessToken,
        HttpOnly: true,
        Secure:   false, // 开发环境HTTP设为false，生产环境HTTPS必须设为true
        Domain:   "localhost",
        Path:     "/",
        SameSite: http.SameSiteLaxMode,
        MaxAge:   3600, // 1小时有效期
    }
    http.SetCookie(w, accessCookie)

    // 设置refreshToken Cookie
    refreshCookie := &http.Cookie{
        Name:     "refreshToken",
        Value:    refreshToken,
        HttpOnly: true,
        Secure:   false,
        Domain:   "localhost",
        Path:     "/",
        SameSite: http.SameSiteLaxMode,
        MaxAge:   86400 * 7, // 7天有效期
    }
    http.SetCookie(w, refreshCookie)

    w.WriteHeader(http.StatusOK)
    w.Write([]byte("登录成功"))
}

2. 配置CORS允许携带Credentials #

前端从localhost:8080发请求到localhost:8081属于跨源请求，必须在auth_server端配置CORS头，允许携带Cookie：

• 指定Access-Control-Allow-Origin为前端源http://localhost:8080（不能用*，因为带Credentials时*无效）
• 添加Access-Control-Allow-Credentials: true
• 处理OPTIONS预检请求，返回这些头

Go的CORS中间件示例：

func corsMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        origin := r.Header.Get("Origin")
        // 开发环境仅允许指定前端源
        if origin == "http://localhost:8080" {
            w.Header().Set("Access-Control-Allow-Origin", origin)
            w.Header().Set("Access-Control-Allow-Credentials", "true")
            w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
            w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
        }

        // 处理OPTIONS预检请求
        if r.Method == http.MethodOptions {
            w.WriteHeader(http.StatusOK)
            return
        }

        next.ServeHTTP(w, r)
    })
}

// 注册路由时挂载中间件
func main() {
    mux := http.NewServeMux()
    mux.HandleFunc("/login", loginHandler)
    mux.HandleFunc("/api/token", tokenHandler) // 你的API令牌接口

    http.ListenAndServe(":8081", corsMiddleware(mux))
}

3. 前端请求开启Credentials #

如果前端用fetch或axios发送请求，必须明确开启携带Cookie的配置，否则浏览器会自动忽略Cookie：

• fetch示例：

fetch('http://localhost:8081/api/token', {
    method: 'GET',
    credentials: 'include' // 关键：强制携带Cookie
})

• axios示例：

axios.get('http://localhost:8081/api/token', {
    withCredentials: true
})

验证步骤 #

1. 重启auth_server，重新登录后，查看浏览器开发者工具的Application->Cookies->localhost，确认accessToken和refreshToken已保存
2. 发送API令牌请求，查看Network面板的Request Headers，确认Cookie字段已携带
3. 如果仍有问题，检查Cookie的MaxAge是否设置正确（不要设为0，会被浏览器立即删除）

内容的提问来源于stack exchange，提问作者Rebeljah