PHP API发送Cookie但浏览器未保存问题求助

1. 修正Set-Cookie参数格式与逻辑 #

你的Set-Cookie头里HttpOnly ;的分号前多了空格，Chrome对这类格式问题的容错率更低，先把格式改对：

"Set-Cookie: jwt_refresh_token=".$jwtRefreshToken."; HttpOnly; Max-Age=3600; Secure; SameSite=None;"

• 本地开发（无HTTPS）必须删掉Secure参数，Chrome要求Secure标记的Cookie只能在HTTPS环境下传输，HTTP的localhost环境带这个参数会直接被拒绝保存。
• 线上HTTPS环境里，SameSite=None必须和Secure同时存在，这是Chrome的强制规则。

2. 严格匹配同源配置+前端请求带凭证 #

• API端的Access-Control-Allow-Origin必须精确写http://localhost:3456，不能用通配符*——因为你开了Access-Control-Allow-Credentials: true，通配符和凭证是冲突的，浏览器会直接忽略Cookie。
• 前端请求必须明确携带凭证：
  • 用axios的话加withCredentials: true：

    axios.post('http://localhost:80/api/login', loginData, {
      withCredentials: true
    })
    

  • 用fetch的话加credentials: 'include'：

    fetch('http://localhost:80/api/login', {
      method: 'POST',
      body: JSON.stringify(loginData),
      credentials: 'include'
    })
    

3. 绕过Chrome对localhost的特殊限制 #

Chrome内核对localhost的跨域Cookie有额外限制，试试这两个办法：

• 启动Chrome时加参数临时关闭安全校验（仅开发环境用）：

  # Windows
  chrome.exe --disable-web-security --user-data-dir="C:/ChromeDevTemp"
  # Mac
  open -a Google\ Chrome --args --disable-web-security --user-data-dir="/tmp/ChromeDevTemp"
  

• 修改本地hosts文件，把API和前端映射到自定义域名，比如：

  127.0.0.1 local.api.com
  127.0.0.1 local.front.com
  

  之后用local.api.com/api访问接口，local.front.com:3456访问前端，规避localhost端口差异的问题。

4. 确保预检请求（OPTIONS）的响应头完整 #

Chrome会先发OPTIONS预检请求，这个请求的响应头必须包含所有CORS配置，PHP里可以专门处理OPTIONS请求：

if ($_SERVER['REQUEST_METHOD'] === 'OPTIONS') {
    header('Access-Control-Allow-Origin: http://localhost:3456');
    header('Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS');
    header('Access-Control-Allow-Headers: Authorization, Origin, Content-Type');
    header('Access-Control-Allow-Credentials: true');
    exit(0);
}

5. 检查浏览器隐私设置 #

如果Chrome开了「阻止第三方Cookie」，跨域场景下的Cookie会被拦截。临时关闭该设置：设置→隐私和安全→Cookie及其他网站数据→关闭「阻止第三方Cookie」（上线后再改回，配合SameSite=None+Secure即可兼容）。

内容的提问来源于stack exchange，提问作者Bartas139