Safari无法保存跨域登录Cookie问题及架构兼容咨询

一、保留现有架构让Cookie识别为非跨站的可行方案 #

你可以通过以下两种方式，在不改变S3+API Gateway核心架构的前提下，让Cookie被Safari判定为同站Cookie：

1. 统一主域名，使用子域名拆分前后端 #

将前端S3的自定义域名和后端API Gateway的域名改为同一个主域名下的子域名，比如：

• 前端：app.yourdomain.com（绑定到S3静态网站）
• 后端API：api.yourdomain.com（配置API Gateway的自定义域名）

配置Cookie时，将Domain属性设置为.yourdomain.com（注意前缀的点），这样两个子域名下的请求都会被视为同站，Safari会正常存储Cookie。

2. 用CloudFront作为统一入口，共享域名 #

部署CloudFront分发，将同一个域名下的不同路径分别转发到S3和API Gateway：

• 路径/*转发到S3静态资源
• 路径/api/*转发到API Gateway

所有前端请求和API请求都通过同一个CloudFront域名发起，此时Cookie的域名就是该CloudFront域名，自然属于同站，Safari不会拦截。这种方式不需要修改现有S3和API Gateway的自定义域名，仅需在CloudFront中配置对应的行为规则和源。

二、前后端不同主域名的架构，仍可在Safari存储Cookie #

并非不同域名就完全无法在Safari中存储Cookie，只是需要严格满足Safari的跨站Cookie规则：

• 必须为Cookie设置SameSite=None; Secure; HttpOnly属性（SameSite=None要求Cookie仅通过HTTPS传输，因此Secure是必填项）
• 后端API Gateway的CORS配置需开启Access-Control-Allow-Credentials: true，并指定允许的前端域名
• 前端发起请求时，需携带withCredentials: true（比如使用fetch时设置credentials: 'include'，axios时设置withCredentials: true）

注意：Safari的**智能跟踪预防(ITP)**机制可能会在特定场景下清除跨站Cookie（比如用户长时间未访问、被判定为跟踪行为），这种情况下可以考虑补充方案：

• 使用短生命周期的Cookie配合刷新机制
• 改用Token存储在localStorage（但安全性低于HttpOnly Cookie，需做好XSS防护）

内容的提问来源于stack exchange，提问作者Fred