Django无法设置SSID会话ID Cookie问题排查求助

问题背景 #

需要设置三类Cookie：Session ID（SSID）、Access token、Refresh token，其中Access token和Refresh token可正常设置，但使用settings.SESSION_COOKIE_NAME作为键名的SSID Cookie始终无法生效；将键名改为TEST_COOKIE则能正常显示，业务要求必须使用SSID键名。

代码示例：

class AuthResponse(SuccessResponse):
    def __init__(self, data={}, ssid='', access_token: str = '', refresh_token: str = '', **kwargs):
        super().__init__(data, **kwargs)

        self.set_cookie(key=settings.SESSION_COOKIE_NAME,
                        value=ssid,)

        if access_token:
            self.set_cookie(key=settings.ACCESS_KEY_COOKIE_NAME,
                            value=access_token,)
        if refresh_token:
            self.set_cookie(key=settings.REFRESH_KEY_COOKIE_NAME,
                            value=refresh_token,)

AuthResponse继承自SuccessResponse，后者基于DjangoJsonResponse，最终继承自HttpResponse。

已确认参数正常传入，添加httponly、secure参数无效，怀疑中间件存在干扰。

排查建议 #

1. 排查Django Session中间件的自动处理冲突 #

Django自带的SessionMiddleware会自动管理SESSION_COOKIE_NAME对应的Cookie，可能在你的响应返回前覆盖或清除了该Cookie：

• 临时注释settings.py中MIDDLEWARE列表里的django.contrib.sessions.middleware.SessionMiddleware，测试SSID Cookie是否能正常设置。
• 如果注释后生效，说明是中间件冲突。此时可考虑：
  • 在响应处理的最后阶段设置SSID Cookie（比如使用django.core.signals.request_finished信号），确保在Session中间件处理之后执行；
  • 若无需Django自带Session功能，可直接移除该中间件。

2. 对齐Django Session Cookie的默认参数 #

Django的SessionMiddleware设置Cookie时会带上一系列默认参数，若手动设置的参数不匹配，可能被浏览器拒绝或被中间件覆盖。尝试完全对齐参数：

self.set_cookie(
    key=settings.SESSION_COOKIE_NAME,
    value=ssid,
    max_age=settings.SESSION_COOKIE_AGE,
    expires=None,
    path=settings.SESSION_COOKIE_PATH,
    domain=settings.SESSION_COOKIE_DOMAIN,
    secure=settings.SESSION_COOKIE_SECURE,
    httponly=settings.SESSION_COOKIE_HTTPONLY,
    samesite=settings.SESSION_COOKIE_SAMESITE,
)

3. 追踪响应流程中的Cookie变化 #

• 在设置SSID Cookie后立即打印print(self.cookies)，确认Cookie已被添加；
• 在响应即将返回前（比如视图函数末尾）再次打印self.cookies，检查该Cookie是否被删除或覆盖；
• 排查SuccessResponse及父类的初始化逻辑，确认是否存在清除特定Cookie的代码。

4. 检查响应头与浏览器策略 #

• 打印响应头print(self._headers)，确认Set-Cookie字段中是否包含SSID的条目；
• 若响应头存在该条目但浏览器未存储，检查：
  • SameSite参数是否符合浏览器要求（本地开发可设为Lax或None）；
  • Secure参数是否在HTTP环境下设置（本地HTTP环境需设为False）；
  • 域名、路径参数是否与当前页面匹配。

5. 调整中间件执行顺序 #

Django中间件在响应阶段是逆序执行的，确保你的Cookie设置逻辑在SessionMiddleware之后执行：

• 检查MIDDLEWARE列表顺序，若有自定义中间件处理响应，将其放在SessionMiddleware之前（响应阶段会先执行自定义中间件，再执行SessionMiddleware，避免被覆盖）；
• 或使用process_response方法在中间件中设置Cookie，确保执行顺序正确。

内容的提问来源于stack exchange，提问作者Vladislav Mikhailov