ASP.NET Core 6 WebAPI中Response.Cookies.Append()后浏览器未设置Cookie

我在WebAPI项目中编写了如下代码：

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Expires = newRefreshToken.Expires
};

Response.Cookies.Append("someKey", "someVal", cookieOptions);

浏览器响应返回了set-cookie头：

set-cookie: someKey=someVal; expires=Thu, 15 Sep 2022 07:02:31 GMT; path=/; httponly

但在开发者工具的应用程序标签里看不到这个Cookie。补充的Program.cs代码如下：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddDbContext<AppDbContext>(options =>
{
    options.UseSqlite(
        builder.Configuration.GetSection("ConnectionStrings:DefaultConnection").Value
    );
});
builder.Services.AddScoped<IAuthRepo, AuthRepo>();
builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddScoped<IUserService, UserService>();
builder.Services.AddHttpContextAccessor();
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(
                Encoding.UTF8.GetBytes(
                    builder.Configuration.GetSection("AppSettings:Token").Value)),
            ValidateIssuer = false,
            ValidateAudience = false
        }
    );
builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(
        builder =>
        {
            builder.AllowAnyOrigin()
                .AllowAnyHeader()
                .AllowAnyMethod();
        });
});

var app = builder.Build();

app.UseCors();
app.UseHttpsRedirection();
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();

app.Run();

1. 补充Cookie的SameSite与Secure属性 #

现代浏览器对跨域Cookie有严格的安全限制，当前Cookie缺少这两个关键配置，会被浏览器拒绝存储。修改CookieOptions：

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Expires = newRefreshToken.Expires,
    Secure = true, // 生产环境必须开启，仅允许HTTPS传输Cookie
    SameSite = SameSiteMode.None, // 跨域场景下需设置为None
    Path = "/"
};

注意：SameSite=None必须配合Secure=true使用，否则浏览器会直接忽略该Cookie。

2. 修正CORS配置 #

当前AllowAnyOrigin()的配置无法与跨域Cookie兼容，浏览器会触发安全策略阻止Cookie。需指定具体前端域名，并开启凭证允许：

builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(
        builder =>
        {
            builder.WithOrigins("https://your-frontend-domain.com") // 替换为实际前端域名
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials(); // 允许请求携带凭证（含Cookie）
        });
});

禁止同时使用AllowAnyOrigin()和AllowCredentials()，这会违反浏览器CORS安全规则，必须明确指定允许的源。

3. 前端请求需携带凭证 #

前端发起请求时，必须配置允许携带凭证，以Axios为例：

axios.post('/api/your-endpoint', requestData, {
    withCredentials: true
});

使用Fetch API的写法：

fetch('/api/your-endpoint', {
    method: 'POST',
    credentials: 'include',
    body: JSON.stringify(requestData),
    headers: {
        'Content-Type': 'application/json'
    }
});

4. 适配开发环境的HTTPS要求 #

Secure属性要求Cookie仅在HTTPS环境下传输，本地开发如果用HTTP，可临时调整：

Secure = app.Environment.IsProduction() // 生产环境开启，开发环境关闭

或者为本地开发配置HTTPS（推荐，更贴近生产环境）。

内容的提问来源于stack exchange，提问作者SpicyCatGames