配置正确选项与CORS后Fetch仍未携带Cookie问题排查

导致跨域请求未携带会话Cookie的核心原因，大概率是浏览器第三方Cookie拦截策略或Cookie属性配置不全，以下是关键遗漏点及修复方案：

• 必须给Cookie添加Partitioned属性
  目前Chrome、Edge等主流浏览器默认拦截未分区的第三方Cookie，即便你已经设置了SameSite=None和Secure，跨域场景下的Cookie仍会被浏览器拦截。需要在后端设置Cookie时补充Partitioned属性，示例如下：

  Set-Cookie: session_id=your_session_value; HttpOnly; Secure; SameSite=None; Partitioned; Domain=b.com; Path=/
  

  该属性会将Cookie存入浏览器的分区存储中，规避第三方Cookie拦截限制。

• 检查Cookie的Domain属性配置
  如果后端设置Cookie时未显式指定Domain，浏览器会默认将Cookie绑定到当前请求的具体域名（如b.com），若后续请求的URL域名存在细微差异（比如请求api.b.com但Cookie绑定b.com），需要手动设置Domain=b.com，确保跨域请求时浏览器能识别并携带该Cookie。

• 验证请求URL与Cookie的路径/域名匹配性
  确认fetch请求的URL（https://b.com）和Cookie的Path、Domain完全一致：

  • 若Cookie的Path设置为/api，但请求的是https://b.com/，路径不匹配会导致Cookie不被携带；
  • 若Cookie绑定的是www.b.com，但请求的是b.com，域名不匹配同样会拦截Cookie。

内容的提问来源于stack exchange，提问作者Vitor Pereira