跨站认证Cookie无法设置？Uni项目CORS请求问题求助

架构老林

2026-8-5

跨站CORS请求Set-Cookie无法生效的排查方案

以下是针对该问题的具体排查要点，都是实际开发中容易忽略的细节：

检查Firefox隐私拦截设置
Firefox的增强跟踪保护会默认拦截部分跨站Cookie。直接在地址栏输入about:preferences#privacy，找到「增强跟踪保护」，临时切换为「标准」模式，或者把backend-domain.com添加到例外列表，再测试Cookie是否能正常设置。
核对Set-Cookie的Domain属性
确保Domain值格式正确：不要加多余的点前缀（比如.backend-domain.com），直接写Domain=backend-domain.com。同时确认前端请求的后端域名和这个Domain完全匹配，比如如果请求的是api.backend-domain.com，Domain设为backend-domain.com是允许的，但反过来就不行。
补充Cookie的Path属性
如果Set-Cookie没指定Path，默认是当前请求的路径（比如请求/api/login的话，Cookie默认Path为/api），后续只有请求该路径下的接口才会携带。可以显式添加Path=/，让Cookie在整个后端域名下生效。
验证后端HTTPS证书
虽然你加了Secure属性，但如果后端证书是自签名或不被Firefox信任的，浏览器会拒绝设置Cookie。直接访问后端域名，确认没有证书警告弹窗。
检查OPTIONS预检请求的响应头
跨站POST/DELETE等请求会先发送OPTIONS预检，要确保这个请求的响应也携带Access-Control-Allow-Credentials: true和正确的Access-Control-Allow-Origin，如果前端请求用了自定义头，还要在Access-Control-Allow-Headers里包含这些头。不少后端框架会单独处理OPTIONS请求，容易漏掉这些配置。
查看浏览器控制台的安全日志
打开Firefox开发者工具（F12）的「控制台」，过滤「安全」类型的日志，浏览器会明确输出拒绝设置Cookie的原因，比如跟踪保护拦截、Domain不匹配等，这是最直接的排查线索。