生产环境跨TLD重定向时Cookie无法持久留存问题排查

你的Cookie在生产环境失效是浏览器Cookie同源安全规则+SameSite默认策略共同导致的，localhost环境正常是因为浏览器对本地调试地址做了特殊规则豁免，不代表生产跨域场景下逻辑成立。

1. 为什么从api.goldsky.io重定向到app.goldsky.com后Cookie无法留存？ #

Cookie的核心写入规则是：未显式指定Domain属性时，浏览器只会将Set-Cookie响应对应的Cookie写入当前响应的源所属域名，不会自动同步到其他域名。
你的认证回调接口运行在api.goldsky.io域下，后端返回的Set-Cookie头没有配置Domain属性，浏览器只会把这个goldsky_sessionCookie存到api.goldsky.io域下，后续跳转到app.goldsky.com时，浏览器本来就不会携带其他域名的Cookie，自然会出现Cookie消失的现象。

2. 是否需要设置Domain属性？应该配置为什么值？ #

无法通过配置Domain属性实现跨顶级域名的Cookie共享，这个思路从根上走不通。
Domain属性的合法取值只能是当前响应源本身，或者它的上级父域名：比如你在api.goldsky.io上返回Cookie，Domain最多只能配置为.goldsky.io，让所有*.goldsky.io的子域名共享这个Cookie；如果你尝试把Domain设为.goldsky.com，浏览器会直接判定为非法配置，拒绝写入该Cookie，没有任何兼容空间。

3. 问题是否和SameSite属性有关？ #

有直接关系，就算你解决了Cookie写入域的问题，SameSite配置错误依然会导致跨站请求不携带Cookie：

• 目前所有主流浏览器的SameSite属性默认值为Lax，该模式下仅允许同站请求携带Cookie，跨站场景下只有顶级导航的GET请求会临时携带Cookie，不会做持久化存储；如果配置为Strict，所有跨站请求都不会携带Cookie。
• 你的场景中api.goldsky.io和app.goldsky.com属于完全不同的站点（顶级域名分别为.io和.com，即便二级名称都是goldsky也不属于同站），跨站跳转场景下如果没有显式将SameSite配置为None并同时开启Secure属性，浏览器不会在跨站请求中携带对应Cookie。

• 放弃跨顶级域名种Cookie的思路，这是浏览器强制的安全边界，没有绕过空间。调整认证回调逻辑：
  • 后端在api.goldsky.io/auth/workos/callback接口生成会话凭证后，不要直接写永久会话Cookie，而是生成一个短期有效的一次性登录票据，拼接到重定向URL的参数中，跳转到app.goldsky.com的登录落地页
  • 前端在app.goldsky.com域下拿到URL中的一次性票据后，调用对应接口换取正式会话信息，将goldsky_sessionCookie写入app.goldsky.com域下，后续前端访问自身域的资源时自然会携带该Cookie
• 如果后续需要前端在app.goldsky.com上直接调用api.goldsky.io的接口并携带认证信息，需要给API域的Cookie做如下配置：
  • 配置SameSite=None; Secure（注意SameSite=None必须和Secure同时配置，仅在HTTPS环境下生效，否则浏览器会直接拒绝）
  • 配置Domain=api.goldsky.io（如果需要给其他*.goldsky.io子域共享可以设为.goldsky.io）
  • 后端CORS配置需要开启Access-Control-Allow-Credentials: true，前端发起请求时也要配置credentials: 'include'
• localhost环境正常是因为浏览器对localhost、127.0.0.1这类本地调试地址做了安全规则放宽，不会严格校验同站、跨域限制，所以本地前后端分端口调试时Cookie可以正常传递，这套逻辑在生产跨顶级域场景下完全不适用。

内容的提问来源于stack exchange，提问作者Paymahn Moghadasian