Laravel+Vue前后端分离下Cookie无法在浏览器设置的问题求助

请求成功后能在响应中看到Cookie，但浏览器的「Application」标签页里找不到该Cookie。Postman中Cookie能正常附加，试过Cookie::queue()和->withCookie()两种方式设置Cookie，也将SameSite改为none，均无效。

尝试的Cookie设置方式 #

方式一： #

Cookie::queue('access_token', 'test', $minutes = 30000, $path = null, $domain = null, $secure = false, $httpOnly = false, true, $sameSite = 'none');

return $this->successfullRequest($user, 'User successfully logged in');

方式二： #

return $this->successfullRequest($user, 'User successfully logged in')->withCookie($tokens['refresh_token']);

响应中的Cookie截图 #

CORS配置（cors.php） #

return [
    'paths' => ['api/*', 'sanctum/csrf-cookie'],

    'allowed_methods' => ['*'],

    'allowed_origins' => ['*'],

    'allowed_origins_patterns' => [],

    'allowed_headers' => ['*'],

    'exposed_headers' => [],

    'max_age' => 0,
    'supports_credentials' => true,
];

Vue请求代码 #

// Send the request to API
const response = await fetch('http://127.0.0.1:8000/api/v1/auth/login', {
    method: "POST",
    credentials: 'include',
    headers: {
        Accept: 'application/vnd.api+json',
        'Content-Type': 'application/vnd.api+json'
    },
    body: JSON.stringify({
        email: credentials.email,
        password: credentials.password
    })
});

解决方案 #

1. 修正SameSite与Secure的搭配逻辑
   当SameSite设为none时，浏览器强制要求Cookie必须开启secure（仅HTTPS传输）。本地开发用HTTP的话，别设SameSite为none，改成lax或strict；生产环境用HTTPS的话，把Cookie::queue里的$secure参数设为true。

2. 明确Cookie的Domain属性
   本地开发时Laravel（127.0.0.1:8000）和Vue（比如localhost:8080）属于跨端口场景，需将Cookie的domain设为根域名（如localhost），确保跨端口能共享。修改Cookie::queue的$domain参数为'localhost'。

3. 配置Sanctum（若使用）
   若用Sanctum做认证，在config/sanctum.php中设置正确的stateful域名：

   'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', 'localhost,127.0.0.1:8000,127.0.0.1:8080')),
   

   同时在.env文件中设置SESSION_DOMAIN=.localhost（前缀的点适配子域名/不同端口）。

4. 检查浏览器隐私设置
   隐私模式或第三方Cookie拦截会阻止跨域Cookie存储，关掉隐私模式，或将本地站点加入浏览器信任列表。

5. 验证Cookie的Path属性
   若Path设为null默认是/，一般没问题，但如果API在/api/v1路径下，可明确设为'/'确保覆盖所有路径。

内容的提问来源于stack exchange，提问作者henrbu