.NET 6.0登录接口Response.Cookies.Append写入Cookie未生效问题

• Cookie路径配置错误：当前代码将Cookie的Path属性设为/login，该配置下Cookie仅在访问/login路径下的资源时才会生效，站点其他路径既不会携带该Cookie，浏览器也不会在非/login路径下留存对应Cookie，全站使用的身份令牌Cookie需要将Path设为/。
• 跨源场景缺少必要配置：前端运行在http://localhost:3000，与后端接口端口不一致属于跨源请求，现有Cookie配置未设置SameSite属性，跨源场景下浏览器默认拦截第三方Cookie写入；同时跨源场景下后端CORS策略未开启凭证允许、前端请求未开启携带凭证配置时，Set-Cookie响应头会被浏览器直接忽略。
• 安全属性不匹配：如果接口运行在HTTPS环境下未开启Cookie的Secure属性，或者SameSite=None模式下未开启Secure，现代浏览器（Chrome 80+、Edge、Firefox新版）会直接拒绝写入对应Cookie。

1. 修正Cookie配置代码

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Expires = DateTime.UtcNow.AddHours(8),
    Path = "/", // 修正路径为全站生效
    SameSite = SameSiteMode.Lax, // 本地同站点调试用Lax，完全跨站部署时改为SameSiteMode.None
    Secure = !HttpContext.RequestServices.GetRequiredService<IWebHostEnvironment>().IsDevelopment(), // 开发HTTP环境关闭Secure，生产HTTPS环境强制开启
    IsEssential = true // 标记为必要Cookie，避免被浏览器隐私拦截策略过滤
};
// 注意：如果将SameSite设为SameSiteMode.None，必须同时设置Secure = true，否则浏览器会拦截Cookie
Response.Cookies.Append("RefreshToken", token.RefreshToken, cookieOptions);
Response.Cookies.Append("AccessToken", token.AccessToken, cookieOptions);

2. 配置后端跨域策略（Program.cs中添加）

// 服务注册阶段添加CORS策略
builder.Services.AddCors(opt =>
{
    opt.AddPolicy("FrontendCors", policy =>
    {
        policy.WithOrigins("http://localhost:3000") // 明确指定前端源，禁止和AllowAnyOrigin同时使用
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启，允许跨源请求携带、接收Cookie
    });
});

// 中间件管道中，在UseRouting、UseAuthorization之前启用CORS
app.UseCors("FrontendCors");

3. 前端请求开启凭证携带配置

• 若使用axios发起请求，全局配置axios.defaults.withCredentials = true，或单次请求配置中添加withCredentials: true
• 若使用fetch发起请求，配置项中添加credentials: 'include'

本地开发最优方案：在React的vite/webpack配置中添加代理，将接口请求转发到后端服务地址，让前端页面和接口请求同源，可彻底避免跨源Cookie相关问题，无需调整SameSite为None。

内容的提问来源于stack exchange，提问作者BTicaret BTicaret