ExpressJS跨域Cookie问题：浏览器未携带API设置的子域Cookie

第一个核心问题：Cookie的Domain属性不能带端口号 #

浏览器的Cookie规范明确要求Domain字段只能填主机名，不能包含端口。你当前写的abc.localhost.com:4200不符合规则，浏览器会直接忽略这个Cookie的设置。正确写法是只保留主机名：

• 仅给abc.localhost.com子域名用：domain: 'abc.localhost.com'
• 给所有localhost.com的子域名（包括管理后台和客户站点）共享：domain: '.localhost.com'（注意前缀的点）

第二个核心问题：SameSite设置不匹配跨域跳转场景 #

通过window.open()从管理后台跨域跳转到客户子域名时，SameSite: Lax的限制会导致Cookie无法自动携带。需要将SameSite改为None，同时必须搭配secure: true（SameSite=None强制要求Cookie通过HTTPS传输）。

修正后的Cookie配置代码 #

res.cookie('token', token, {
  secure: true,
  domain: 'abc.localhost.com', // 按需选择单个子域名或全局子域名
  sameSite: 'None',
  maxAge: 10 * 60 * 1000, // 直接用毫秒数表示10分钟，比moment更简洁
})

额外需要确认的配置 #

1. 前端请求必须携带Credentials：管理后台发起请求时，要开启withCredentials: true，比如axios的写法：

axios.post('/api/admin/login-as-customer', { customerId: 'abc' }, {
  withCredentials: true
})

2. API服务器CORS配置要对应：必须允许管理后台的域名，同时开启凭证支持：

// Express框架示例
app.use(cors({
  origin: 'https://admin.localhost.com:3000',
  credentials: true,
}))

最后注意触发时机 #

尽量让window.open()绑定在用户主动点击的操作上（比如按钮点击事件），如果是异步请求完成后再调用，浏览器可能会因为非用户主动操作而限制Cookie携带。

内容的提问来源于stack exchange，提问作者relentless-coder