Capacitor 4 Android端Set-Cookie Header未设置问题咨询

问题原因 #

Capacitor 4对Android端的WebView网络请求策略做了更严格的调整，默认配置下可能无法正确接收服务器发送的Cookie，尤其是HttpOnly类型的Cookie。Web端正常是因为浏览器的Cookie处理逻辑与Capacitor Android的WebView配置不同。

解决步骤 #

1. 调整Express服务器的Cookie配置 #

确保Cookie的domain、sameSite和secure参数与运行环境匹配，避免被WebView拦截：

const MAX2DAYS = 2 * 24 * 60 * 60 * 1000;

res.cookie('jwt', token, {
  httpOnly: true,
  maxAge: MAX2DAYS,
  // 生产环境建议用None+secure，本地测试用Lax
  sameSite: process.env.NODE_ENV === 'production' ? 'None' : 'Lax',
  secure: process.env.NODE_ENV === 'production',
  // 本地测试用电脑局域网IP，生产环境用实际域名
  domain: process.env.NODE_ENV === 'production' ? 'yourdomain.com' : '192.168.1.100'
});

注意：本地测试不要用localhost作为domain，Android模拟器中localhost指向模拟器自身，无法访问本地服务器，必须使用电脑的局域网IP。

2. 修改Capacitor配置文件 #

在capacitor.config.ts（或capacitor.config.json）中添加服务器相关配置，允许目标域名的导航并适配网络协议：

import { CapacitorConfig } from '@capacitor/cli';

const config: CapacitorConfig = {
  appId: 'com.yourapp.id',
  appName: 'YourApp',
  webDir: 'dist',
  server: {
    // 生产环境用https，本地测试可以用http
    androidScheme: process.env.NODE_ENV === 'production' ? 'https' : 'http',
    // 添加服务器IP或域名，允许WebView导航到该地址
    allowNavigation: ['192.168.1.100', 'yourdomain.com'],
    // 本地测试允许明文HTTP流量（生产环境禁用）
    cleartextTrafficEnabled: process.env.NODE_ENV !== 'production'
  }
};

export default config;

3. 确认Android权限 #

确保android/app/src/main/AndroidManifest.xml中包含网络权限：

<uses-permission android:name="android.permission.INTERNET" />

关键说明 #

Capacitor 4的Android WebView默认遵循更严格的安全策略，只有当Cookie的配置（domain、sameSite、secure）与WebView的服务器配置完全匹配时，才会自动接收并存储Cookie。如果是跨域场景，还需确保服务器和客户端的CORS配置正确，允许携带Cookie。

内容的提问来源于stack exchange，提问作者beingyogi