Axios+Express环境下req.cookies为空[Object: null prototype] {}的问题

1. 后端CORS配置必须允许凭证 #

浏览器直接请求属于同域（或浏览器默认兼容处理），但Axios发起的跨域请求需要后端明确开启凭证支持：

• 确保CORS中间件设置了Access-Control-Allow-Credentials: true
• Access-Control-Allow-Origin不能设为*，必须指定前端的具体域名（比如http://localhost:3000）

以Express框架为例，配置示例：

const cors = require('cors');
app.use(cors({
  origin: process.env.FRONTEND_DOMAIN_TO_SHARE_COOKIES,
  credentials: true
}));

2. 调整Cookie的domain参数 #

你当前代码中localhost场景下domain设为false，部分浏览器对该值的解析存在差异，建议修改为：

• 本地开发时，直接省略domain（设为undefined）或显式设为'localhost'
• 生产环境保留原逻辑，使用具体域名

修改后的后端代码：

const domain = process.env.FRONTEND_DOMAIN_TO_SHARE_COOKIES === "localhost"
  ? undefined // 或改为 'localhost'
  : process.env.FRONTEND_DOMAIN_TO_SHARE_COOKIES;
const secure = process.env.FRONTEND_DOMAIN_TO_SHARE_COOKIES === "localhost"
  ? false
  : true;

res.cookie(cubikSessionCookieName, token, {
  domain,
  secure,
  httpOnly: true, // 建议添加，提升Cookie安全性，不影响请求携带
  sameSite: 'Lax' // 跨域场景下可改为'None'，但需配合secure: true
});

3. 确认Axios的withCredentials未被全局覆盖 #

如果项目中有Axios全局配置，可能意外覆盖了withCredentials：

• 检查全局配置中是否存在withCredentials: false的设置
• 可以全局开启该属性，避免每个请求重复声明：

axios.defaults.withCredentials = true;

4. 验证Cookie的SameSite属性 #

跨域场景下，SameSite属性需设为'None'，同时必须开启secure: true（SameSite=None要求HTTPS环境）：
生产环境跨域时的Cookie配置示例：

res.cookie(cubikSessionCookieName, token, {
  domain: process.env.FRONTEND_DOMAIN_TO_SHARE_COOKIES,
  secure: true,
  sameSite: 'None',
  httpOnly: true
});

5. 利用浏览器工具排查细节 #

打开浏览器开发者工具的「控制台」和「网络」面板：

• 查看是否有CORS相关的错误提示
• 检查请求头中是否携带了Cookie字段
• 确认响应头的Set-Cookie参数是否符合预期

内容的提问来源于stack exchange，提问作者Jota