Spring Boot会话Cookie在Chrome跨域请求中未发送，Firefox可正常工作（SameSite相关问题）

看起来你碰到了跨域场景下Chrome和Firefox对会话Cookie处理策略不一致的典型问题，我来帮你拆解原因和解决办法：

核心问题分析 #

1. Chrome的严格拦截逻辑：Chrome现在对第三方跨域Cookie的拦截非常严苛——如果Cookie不同时满足SameSite=None、Secure和Partitioned三个属性，就算Cookie存在于浏览器中，跨域请求时也不会被发送。你之前尝试设置SameSite=None但没生效，大概率是配置没覆盖到Tomcat自动生成的JSESSIONID Cookie（毕竟JSESSIONID是嵌入式Tomcat容器生成的，不是Spring业务代码产出的Cookie）。

2. Firefox的过渡状态：Firefox目前还处于隐私策略的过渡阶段，虽然会弹出“需要Partitioned属性”的警告，但暂时还会发送符合SameSite=None+Secure的Cookie，不过后续版本也会和Chrome一样强制要求Partitioned属性。

3. 开发环境正常的原因：本地开发时前端和后端都是localhost域名，属于同一站点（Same-Site），Chrome不会触发第三方Cookie拦截逻辑，所以两边都能正常工作。

分步解决方案 #

1. 配置Tomcat生成的JSESSIONID Cookie属性

直接在application.properties或application.yml中添加容器级别的Cookie配置，这是最可靠的方式，能直接覆盖Tomcat生成JSESSIONID的默认规则：

# 强制JSESSIONID的SameSite为None，必须配合Secure=true使用
server.servlet.session.cookie.same-site=NONE
# 开启Secure属性，只有HTTPS请求才会携带Cookie（Chrome要求SameSite=None的Cookie必须是Secure）
server.servlet.session.cookie.secure=true
# 添加Partitioned属性，满足Chrome和Firefox的第三方Cookie新规则
server.servlet.session.cookie.partitioned=true

2. 补充Tomcat上下文自定义配置（可选）

如果你之前的CookieSameSiteSupplier Bean没生效，是因为它主要作用于Spring自己生成的Cookie（比如业务接口返回的Cookie），而非Tomcat自动生成的JSESSIONID。如果需要统一处理所有Cookie，可以添加Tomcat上下文自定义器：

@Bean
public TomcatContextCustomizer tomcatContextCustomizer() {
    return context -> {
        Rfc6265CookieProcessor cookieProcessor = new Rfc6265CookieProcessor();
        cookieProcessor.setSameSiteCookies("None");
        cookieProcessor.setPartitioned(true);
        context.setCookieProcessor(cookieProcessor);
    };
}

3. 确认CORS配置无遗漏

你的CORS配置已经做对了关键项，不需要修改：

• setAllowCredentials(true) 正确开启了凭证携带
• 明确指定了允许的前端域名（避免用*，Chrome不允许*和allowCredentials=true同时存在）
• 前端Axios也设置了withCredentials: true

只要没有其他中间件（比如Nginx）覆盖CORS响应头，这部分就没问题。

4. 排查Chrome隐私设置（测试用）

如果配置后还是不生效，先检查Chrome的隐私设置：

• 打开Chrome设置 → 隐私和安全 → 第三方Cookie
• 确保没有开启“阻止第三方Cookie”（生产环境只要Cookie带Partitioned属性，就算开启这个设置也能正常工作）

解答你的几个疑问 #

• 为什么Chrome不发送Cookie？：Chrome的第三方Cookie拦截策略要求跨域Cookie必须同时具备SameSite=None、Secure、Partitioned三个属性，缺一个都会被拦截，不会随请求发送。
• 为什么Firefox能工作？：Firefox目前还在隐私策略的过渡阶段，只是发出警告，还没完全强制拦截，但后续版本会和Chrome一致要求Partitioned属性。
• 更好的设置SameSite=None的方式？：用server.servlet.session.cookie.same-site=NONE配置项是最直接的，因为它直接作用于Tomcat生成的JSESSIONID，比CookieSameSiteSupplier Bean更可靠。
• CookieSameSiteSupplier.ofNone()够吗？不够，因为它不影响Tomcat自动生成的JSESSIONID Cookie，只对Spring业务代码中创建的Cookie生效。

内容来源于stack exchange