跨域JWT共享实现咨询：domainA生成的JWT如何在domainB使用

你的理解是对的：默认情况下，domainA设置的Cookie只会被浏览器发送回domainA，不会携带到其他域名的请求中。下面分两种场景给出具体实现方式：

一、同主域名下的跨域子域（比如domainA是a.example.com，domainB是b.example.com） #

如果两个域名属于同一个主域，可以通过配置Cookie属性实现跨域共享：

• 设置Cookie的Domain属性：在domainA的响应头Set-Cookie中指定Domain=example.com，这样所有example.com下的子域（包括domainB）都能接收该Cookie，并在请求时自动携带。
• 必须搭配SameSite=None和Secure：跨域请求时，浏览器默认会拦截SameSite=Lax/Strict的Cookie，因此需要设置SameSite=None; Secure（Secure要求Cookie仅通过HTTPS传输）。
• 后端CORS配置：domainB的后端需允许来自domainA的跨域请求，同时设置响应头Access-Control-Allow-Credentials: true；前端发起请求时要开启withCredentials（比如axios中配置withCredentials: true）。

二、完全独立的顶级域（比如domainA.com和domainB.com） #

这种情况下浏览器同源策略禁止直接跨域共享Cookie，推荐使用以下方案：

• 将JWT存储到前端本地存储：domainA生成JWT后返回给前端，前端将JWT存入localStorage或sessionStorage。
• 手动携带JWT到domainB的请求：前端向domainB发送请求时，在请求头中添加Authorization: Bearer <你的JWT内容>。
• domainB后端验证JWT：domainB需与domainA使用相同的签名密钥，或信任domainA的公钥，以此验证JWT的合法性与有效性。

注意：使用本地存储需防范XSS攻击（恶意脚本可窃取localStorage中的JWT）；若需更高安全性，可结合HttpOnly+Secure的Cookie配合后端代理转发请求，或采用OAuth2等标准化跨域身份验证流程。

内容的提问来源于stack exchange，提问作者John