跨子域名请求未携带Cookie问题求助

现有环境包含两个子域名：https://abc.domain.com（前端站点）和https://api.domain.com（后端API网关），目前前端已生成域名为.domain.com的Secure、SameSite=Strict、HttpOnly类型Cookie，但前端向API发起请求时未携带该Cookie，以下是针对性的排查解决步骤：

1. 修正前端fetch的凭证配置 #

当前前端fetch请求使用credentials: "same-origin"，该配置仅在**完全同源（协议、域名、端口完全一致）**的场景下携带Cookie，而跨子域名属于跨域场景，必须改为credentials: "include"才能让浏览器在跨域请求中携带Cookie。

修改后的请求代码：

return fetch("https://api.domain.com/something", {
    credentials: "include",
    method: "GET",
    headers: {
      "Content-Type": "application/json",
      'Accept-language': currentLanguage
    }
})

2. 调整Cookie的SameSite属性 #

当前Cookie设置的SameSite="Strict"会严格限制Cookie仅在完全同源的请求中携带，跨子域名的请求被浏览器判定为跨站请求，因此Strict规则会阻止Cookie发送。

根据业务场景调整SameSite值：

• 如果仅需要在跨站GET请求中携带Cookie，改为SameSite="Lax"（推荐，安全性较高）
• 如果需要在所有跨站请求（包括POST等）中携带Cookie，改为SameSite="None"（需确保secure: true已设置，当前配置已满足）

修改后的Cookie生成代码：

var responseCookie = ResponseCookie.from("xyzname", "xyzvalue")
                    .domain(".domain.com").path("/")
                    .secure(true).sameSite("Lax").httpOnly(true)
                    .build();

response.addHeader(HttpHeaders.SET_COOKIE, responseCookie.toString())

3. 验证CORS配置的有效性 #

检查JHipster的CORS配置，当前配置已满足跨域携带Cookie的核心要求：

• allowed-origins已包含https://abc.domain.com，确保无拼写错误
• allow-credentials: true已开启（跨域携带Cookie的必要条件）

若仍有问题，可临时将allowed-origins改为*进行测试（不建议生产环境使用），排除域名匹配问题。

4. 浏览器端本地排查 #

• 打开浏览器开发者工具（F12），进入Application -> Cookies -> .domain.com，确认Cookie的Domain为.domain.com，Secure、HttpOnly、SameSite属性与配置一致
• 在Network面板中查看目标请求的Request Headers，检查是否存在Cookie字段；若不存在，查看控制台是否有CORS或SameSite相关的错误提示
• 确认浏览器未禁用第三方Cookie：部分浏览器默认禁用第三方Cookie，需在设置中允许.domain.com的第三方Cookie

内容的提问来源于stack exchange，提问作者tomaszwasik