跨域调用HTTP API时认证Cookie未随请求携带问题排查

你当前的CORS基础配置方向没错，但有几个容易遗漏的细节会导致Cookie无法自动携带，按以下优先级排查即可：

先确认Cookie是否真的存入浏览器 #

打开开发者工具的Application面板，找到Cookies分类下的https://myserver.com域，检查POST返回的token项是否存在：

• 如果找不到对应Cookie，说明Set-Cookie头被浏览器拦截了，常见原因：
  • 浏览器默认开启了第三方Cookie拦截：Safari默认阻止跨站跟踪、Chrome 2024年后默认拦截第三方Cookie、所有浏览器的无痕模式都会默认拒收第三方Cookie。本地开发可以临时把myserver.com加入浏览器第三方Cookie白名单；生产环境不建议继续依赖第三方跨域Cookie，主流浏览器已经在逐步淘汰这个能力，最好把前端和API部署在同根域下（比如前端app.myserver.com、APIapi.myserver.com），Cookie作为第一方资源就不会被拦截。
  • Cookie属性写法不兼容：你当前Set-Cookie里的属性全是小写（samesite=none; secure; httponly），虽然规范要求属性名大小写不敏感，但Safari部分小版本对小写SameSite属性识别有bug，改成标准大驼峰写法SameSite=None; Secure; HttpOnly即可。
  • Nginx配置覆盖：如果Nginx配置了proxy_cookie_domain/proxy_cookie_path规则，或者多层add_header重复返回CORS头，会导致Set-Cookie被改写或被浏览器拒收，注意Nginx的add_header规则是当前块存在配置时不会继承上层块的配置，不要出现头重复或者缺失的问题。

检查前端withCredentials配置是否全局生效 #

很多人只在发POST令牌请求的时候单独加了withCredentials: true，后续GET请求用的axios实例没开这个配置，自然不会带Cookie：

• 直接给axios做全局配置，避免单个请求覆盖：

// 全局默认开启
axios.defaults.withCredentials = true
// 自定义实例也要单独配置
const request = axios.create({
  baseURL: 'https://myserver.com/api',
  withCredentials: true
})

• 检查发GET请求的代码，不要手动传入withCredentials: false覆盖默认配置。

确认所有请求的CORS头配置一致 #

你贴的POST、GET响应头CORS配置是对的，但要确保浏览器自动发的OPTIONS预检请求也返回完全一致的CORS头，缺一个都会导致跨域失败：

• 预检请求必须返回的头：
  • Access-Control-Allow-Origin：精确匹配请求的Origin值，绝对不能返回*
  • Access-Control-Allow-Credentials: true
  • Access-Control-Allow-Methods：覆盖你用到的POST、GET、OPTIONS等所有方法
  • Access-Control-Allow-Headers：覆盖你请求里用到的Content-Type等所有自定义头

本地开发最快的解决方案：用代理绕开跨域 #

本地调试不需要硬扛跨域Cookie限制，直接用构建工具的devServer代理把API请求转发到后端，浏览器会认为请求是发往同源的本地服务，不需要配置CORS也会自动带Cookie：

// Vite配置示例
export default defineConfig({
  server: {
    proxy: {
      '/api': {
        target: 'https://myserver.com',
        changeOrigin: true,
        secure: false
      }
    }
  }
})

配置完前端直接请求相对路径/api/tokens、/api/user即可。

其他容易踩的小问题 #

• 确认GET请求是在POST请求拿到完整响应之后才发送，不要写并发请求导致GET发的时候Cookie还没写入浏览器
• 临时关闭广告拦截、隐私保护类浏览器插件，这类插件经常会自动移除跨域请求的Cookie头
• 检查服务器系统时间是否准确，如果服务器时间快于实际时间超过Cookie有效期，Cookie刚写入就会过期，浏览器不会存储

内容的提问来源于stack exchange，提问作者TecumTechCEO