Flask会话无法被JQuery Ajax检测的问题求助

核心问题分析 #

直接访问account.mydomain.net/status时是同域请求，浏览器自动携带会话Cookie，因此会话状态正常；但从domain.net发起跨域Ajax调用时，浏览器未正确传递会话Cookie，或Flask端未识别跨域请求带来的Cookie，导致会话验证失败。

解决方案步骤 #

1. 修正Flask会话Cookie配置 #

Flask默认会话Cookie不支持跨子域共享，需显式配置以下属性：

• SESSION_COOKIE_DOMAIN：设为.domain.net（开头的点不可省略），让主域domain.net和子域account.mydomain.net共享Cookie
• SESSION_COOKIE_SAMESITE：设为"None"，允许跨域请求携带Cookie（必须配合HTTPS，即SESSION_COOKIE_SECURE=True）
• SECRET_KEY：确保已设置，Flask会话加密依赖该密钥

修改Flask应用配置代码：

app.config.update(
    SECRET_KEY="your_secure_secret_key_here",  # 替换为实际密钥
    SESSION_COOKIE_DOMAIN=".domain.net",
    SESSION_COOKIE_SAMESITE="None",
    SESSION_COOKIE_SECURE=True
)

2. 完善CORS配置 #

跨域请求携带Cookie时，CORS规则必须满足两个条件：

• 不能使用*作为允许的源，必须指定具体主域https://domain.net
• 响应头需包含Access-Control-Allow-Credentials: true

方式一：使用flask-cors扩展

安装扩展后添加配置：

from flask_cors import CORS

app = Flask(__name__)
# 先添加上面的会话配置代码
CORS(app, origins="https://domain.net", supports_credentials=True)

方式二：手动设置响应头

若不使用扩展，需在跨域接口中添加响应头：

@app.route("/status")
def status():
    try:
        session["access_token"]
        result = {
            "rc": "loggedin",
            "msg": f"User is logged in with access token {session['access_token']}."
        }
    except:
        print("No access token found")
        result = {
            "rc": "notloggedin",
            "msg": "User is not logged in."
        }
    
    response = jsonify(result)
    response.headers["Access-Control-Allow-Origin"] = "https://domain.net"
    response.headers["Access-Control-Allow-Credentials"] = "true"
    return response

3. 保持前端Ajax配置 #

你的现有前端代码已正确设置xhrFields.withCredentials: true，无需修改：

$.ajax({
  method: "GET",
  cache: false,
  url: "https://account.mydomain.net/status",
  xhrFields: {
    withCredentials: true
  }
}).done(function( msg ) {
  console.log( msg );
});

关键注意事项 #

• SESSION_COOKIE_SAMESITE="None"仅在HTTPS环境下生效，开发环境若用HTTP可暂时设为"Lax"，但生产环境必须启用HTTPS
• 禁止将Access-Control-Allow-Origin设为*，否则浏览器会拒绝携带Cookie
• 确保oauth_callback路由最后添加重定向或返回响应，避免请求无返回值导致会话Cookie未正确写入

内容的提问来源于stack exchange，提问作者rdvansloten