删除Safari中token Cookie后请求头仍携带该Cookie的问题排查

1. Safari智能跟踪预防（ITP）的限制 #

Safari的ITP机制对跨站Cookie、第三方Cookie管控极严，就算你手动在开发者工具里删了Cookie，浏览器内部缓存可能还会短时间保留Cookie状态。尤其是前后端域名不一致时，ITP会把这类Cookie标记为跟踪类，删除后发起请求仍可能带上旧值。

排查：

• 确认前后端是否同域名，后端设置Cookie时要指定正确的SameSite属性（建议Lax或Strict），避免被ITP判定为跨站跟踪。
• 临时关闭Safari隐私设置里的“阻止跨站跟踪”，测试问题是否消失。

2. Axios或ReactQuery的配置问题 #

• Axios拦截器：如果你的Axios实例里写了自定义拦截器，从localStorage这类地方读token手动加到请求头，而不是靠浏览器自动带Cookie，那就算删了Cookie，只要localStorage里的token没清，请求头还是会带。
• SSR缓存：如果请求是在NextJS的getServerSideProps/getInitialProps里发起的，NextJS可能缓存了服务器端的请求上下文，导致复用旧的Cookie。ReactQuery本身不会缓存请求头的Cookie，但服务器端的缓存可能出问题。

排查：

• 检查Axios拦截器代码，有没有手动加token的逻辑，是否同步了Cookie的删除操作。
• 只在客户端发起请求测试，或者调用queryClient.invalidateQueries()清空ReactQuery缓存后再试。

3. Cookie删除操作不匹配属性 #

浏览器删除Cookie必须严格匹配所有属性：域名、路径、HttpOnly、Secure，只要有一个不对应，就删不掉，只是开发者工具里不显示了。比如后端设Cookie时路径是/api，你删的时候用了/，实际Cookie还在；或者Cookie是HttpOnly的，手动在开发者工具里删可能根本没生效。

排查：

• 看后端的Set-Cookie响应头，把所有属性记下来，删除时确保完全匹配。
• 去Safari的“偏好设置-隐私-管理网站数据”里直接删对应域名的所有数据，别只在开发者工具里删Cookie。

4. 浏览器HTTP缓存或预加载 #

如果后端返回的响应头带了Cache-Control: max-age=这类缓存指令，Safari可能会缓存整个请求上下文，包括请求头里的Cookie。另外，Safari的预加载功能（比如页面里的<link rel="preload">）也可能提前发请求，用了旧Cookie。

排查：

• 检查后端动态请求（比如身份验证接口）的响应头，设置no-cache或no-store，禁止浏览器缓存请求。
• 给请求加个随机参数（比如?t=${Date.now()}），强制浏览器用新请求，不用缓存。

5. 浏览器临时状态异常或Bug #

偶尔浏览器会出现缓存状态紊乱，比如Safari某些版本的Cookie处理有Bug，删了还残留。你说Chrome之前出现过但复现不了，也符合这种临时异常的情况。

排查：

• 重启Safari，清掉整个浏览器缓存（不是只清Cookie）再测试。
• 把Safari更到最新版本，看问题是否还存在。

内容的提问来源于stack exchange，提问作者Simen Russnes