能否用SameSite=Strict Cookie认证移动应用？本地调试Cookie失效咨询

你的问题核心是移动端（http://localhost）和网页版（https://my-website.com）属于完全不同的源，而SameSite=Strict的Cookie规则是仅在**同一站点（Same-Site）**的请求中才会被浏览器携带，跨源请求时不会发送，所以移动端无法获取到网页版设置的Cookie。

并非只能使用SameSite=None，以下是几种更安全且适配需求的解决方案：

• 调整移动端开发环境的源，匹配生产域名
  可以通过本地hosts文件将my-website.com映射到127.0.0.1，同时用工具（如mkcert）生成自签名HTTPS证书，让移动端开发环境的源变为https://my-website.com。这样就和网页版同源，SameSite=Strict的Cookie能正常工作，完全保留原有安全策略。
  示例命令：mkcert my-website.com，之后配置本地服务器使用生成的证书即可。

• 针对开发环境单独配置Cookie规则
  后端可识别请求来源，若为http://localhost的开发请求，临时将Cookie的SameSite设为Lax（无需Secure，适配HTTP环境）；生产环境仍保持Strict。如果必须用None，则必须同时设置Secure属性，且需确保开发环境是HTTPS。这种方式既能满足开发需求，又不影响生产环境的安全性。

• 改用非Cookie的身份验证方式
  比如移动端采用OAuth2授权码模式，或直接在请求头中携带JWT Token，绕开Cookie的跨源限制。这种方式在移动应用中广泛使用，安全性可控，也能满足你对高安全性的要求。

内容的提问来源于stack exchange，提问作者Gustavo Toyota