CORS跨域fetch请求的Set-Cookie未被浏览器存储问题咨询

跨域场景下Set-Cookie无法被浏览器存储的核心原因是Cookie的Domain属性配置违反规范，被浏览器安全策略直接拦截丢弃，其余你已核查的配置项均符合要求：

• 前端fetch的credentials: 'include'配置正确
• 后端CORS响应头Access-Control-Allow-Credentials: true配置正确
• Access-Control-Allow-Origin为精确匹配的前端源地址，未使用通配符，符合携带凭证的CORS请求要求
• Cookie的SameSite=None; Secure属性配置符合跨站Cookie的规则要求

具体错误点如下：

• 你当前返回的Set-Cookie头中，Domain属性值写为.x8ki-letl-twmt.n7.xano.io/api:s900chrT，错误地将API路径段/api:s900chrT写入了Domain字段。根据Cookie规范，Domain属性仅允许填写合法的域名层级，不得包含路径、端口、协议内容，包含非法字符的Domain配置会直接触发浏览器的Cookie校验失败，导致Cookie被丢弃不存储。
• Cookie值格式存在小瑕疵：myfirstcookie= Bearer xxx中等号后多余的空格虽然不会直接导致存储失败，但属于不规范写法，建议一并修正。
• 多余的风险配置：响应头中Access-Control-Expose-Headers: Set-Cookie属于无效配置，HttpOnly类型的Cookie本就禁止前端JS读取，暴露该响应头反而可能触发部分浏览器的额外安全拦截，建议删除。

按以下顺序调整后端配置即可解决问题：

• 修改Set-Cookie的Domain属性：要么直接省略Domain字段（浏览器会默认将Cookie绑定到当前响应的源站x8ki-letl-twmt.n7.xano.io，完全满足跨域请求携带的需求），要么显式将Domain值设置为合法域名x8ki-letl-twmt.n7.xano.io，绝对不能携带任何路径片段。
• 修正Cookie值格式，去掉等号后的多余空格，格式调整为myfirstcookie=Bearer eyJhbGci...。
• 删除响应头中的Access-Control-Expose-Headers: Set-Cookie配置。

配置修改完成后重新发起登录请求，打开浏览器开发者工具的「Application（应用）」面板，在Cookie分类下找到x8ki-letl-twmt.n7.xano.io对应的存储项，即可看到成功写入的身份Cookie，后续所有携带credentials: 'include'的同域API请求都会自动携带该Cookie，无需手动处理。

内容的提问来源于stack exchange，提问作者Emil