Django Rest Framework Response无法在浏览器设Cookie但Postman正常

1. 检查Django CORS配置 #

确保settings.py中以下配置正确：

• CORS_ALLOW_CREDENTIALS = True：必须开启，否则跨域请求时浏览器不会处理Cookie
• CORS_ALLOWED_ORIGINS：明确指定前端的完整地址（比如["http://localhost:4200"]），不能用通配符*，带凭证的跨域请求不允许使用通配符
• 若使用新版本djangocorsheaders，确认CSRF_TRUSTED_ORIGINS也包含前端地址，避免CSRF拦截

2. 验证Cookie属性设置 #

在登录视图的response.set_cookie方法中，检查关键参数：

• httponly=True：JWT Token建议设为HttpOnly（防止XSS攻击），浏览器Application面板的Cookie列表仍能看到该Cookie（仅JS无法读取）
• samesite='None'：跨域场景下必须设置，否则浏览器会因SameSite策略拒绝保存Cookie；生产环境需搭配secure=True（HTTPS环境），开发环境可暂时设为secure=False
• domain：前后端域名不同时，需设置正确的Domain（比如.example.com），开发环境均为localhost时可省略

示例代码：

response.set_cookie(
    key='access_token',
    value=access_token,
    httponly=True,
    secure=settings.DEBUG is False,
    samesite='None',
    max_age=3600
)

3. 检查Angular请求配置 #

调用登录API的HttpClient请求必须添加withCredentials: true选项，否则浏览器不会发送或保存Cookie：

this.http.post('/api/login', loginData, { withCredentials: true })
  .subscribe(response => {
    // 处理登录结果
  });

4. 浏览器端排查 #

• 确认浏览器未禁用Cookie：检查浏览器设置，允许当前域名的Cookie
• 查看Network面板：登录请求的Response Headers中是否存在Set-Cookie字段；若存在但Cookie未保存，查看控制台警告（比如SameSite、Secure属性不匹配的提示）
• 开发环境适配：Chrome等浏览器在localhost的HTTP请求下，SameSite=None需配合secure=False，部分版本可能仍有限制，可尝试用ng serve --ssl开启HTTPS测试

内容的提问来源于stack exchange，提问作者Mr.J