Angular与ExpressJS主/子域Cookie无法设置问题求助

核心问题1：CORS配置冲突 #

你的Express CORS配置里Access-Control-Allow-Origin设为*，但当请求携带withCredentials: true时，浏览器不允许通配符作为允许的源——这是跨域凭证请求的强制规则，直接导致浏览器拒绝保存服务端返回的Cookie。

修正后的CORS配置 #

将通配符改为客户端的具体源（生产环境需添加HTTPS前缀）：

app.use(function (req, res, next) {
  // 生产环境替换为实际的https://domain.com
  const allowedOrigin = 'https://domain.com';
  res.setHeader('Access-Control-Allow-Origin', allowedOrigin);
  res.setHeader('Access-Control-Allow-Headers', 'Accept, Content-Type, Authorization, Origin, X-Content-Range, X-Requested-With');
  res.setHeader('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
  res.setHeader('Access-Control-Allow-Credentials', true);
  // 处理OPTIONS预检请求直接返回200
  if (req.method === 'OPTIONS') {
    return res.sendStatus(200);
  }
  next();
});

如果需要支持多环境，可动态判断请求的Origin头，仅允许信任的源，避免硬编码。

核心问题2：对HttpOnly Cookie的误解 #

Angular拦截器无法获取set-cookie字段里的Cookie，是因为Cookie设置了HttpOnly属性——这是正常的安全机制，目的是阻止JavaScript访问Cookie，防范XSS攻击。只要浏览器正确保存了Cookie，后续跨域请求会自动携带该Cookie，无需拦截器读取。

Cookie配置额外验证点 #

1. Secure属性：仅当网站使用HTTPS协议时保留该属性；若为HTTP环境（如测试环境），必须移除Secure，否则浏览器会拒绝保存Cookie。
2. Domain属性：.domain.com是正确配置，可确保主域domain.com和子域auth.domain.com共享该Cookie，无需改为domain.com。

验证步骤 #

1. 修正CORS配置后重新发送请求，打开浏览器开发者工具「Application」→「Cookies」面板，确认my-cookie-name是否出现在domain.com域名下。
2. 发送后续请求时，查看「Network」面板的请求头，确认Cookie是否被自动携带。

内容的提问来源于stack exchange，提问作者pioSko