JWT值为null但Cookie已存值的排查方法（附.NET鉴权代码）

按优先级从高到低依次排查：

• 首先修正登录接口的死代码bug：你当前Login方法中，查询完user之后直接写了一行未注释的return BadRequest(error: new { message = "UserEmail or password is not correct" });，这行代码会导致后续判断用户、生成JWT、写入Cookie的逻辑永远不会执行，先把这行多余的返回删掉。
• 核对Cookie的Secure配置与请求协议是否匹配：你写入Cookie时设置了Secure = true，该配置生效规则为仅HTTPS协议请求会携带对应Cookie。如果你本地调试、测试环境使用HTTP协议（包括http://localhost开头的本地地址），哪怕浏览器开发者工具的Application面板能看到Cookie条目，发起请求时浏览器也不会将该Cookie放到请求头中，服务端自然读取为null。本地调试阶段可临时将Secure设为false，生产环境部署HTTPS后再开启即可。
• 检查跨域场景的凭证配置：你设置了SameSite = SameSiteMode.None允许跨域携带Cookie，但需要同时满足三个配套条件，否则Cookie不会随跨域请求发送：
  • CORS策略不能将允许源设置为通配符*，必须明确指定前端的实际访问源地址，同时CORS配置要显式开启AllowCredentials = true
  • 前端发起跨域请求时必须开启凭证携带配置：fetch请求要加credentials: 'include'，axios请求要加withCredentials: true
  • 你的/user校验接口没有加[EnableCors("AllowOrigin")]特性，如果接口未被全局CORS策略覆盖，跨域预检失败时Cookie不会正常发送
• 检查Cookie作用域配置：你当前写入Cookie时未指定Path和Domain参数，默认Path为登录接口的当前路径，如果登录接口路径为/api/auth/login，默认Path下Cookie只会在/api/auth开头的请求中被携带，访问其他路径的接口（比如你这个根路径下的/user接口）就不会带Cookie。建议写入Cookie时显式将Path设为/，如果前后端部署在不同子域，还要将Domain设为统一的根域名（比如前端是www.example.com、接口是api.example.com时，Domain设为.example.com）。
• 用浏览器开发者工具定位问题边界：打开F12的Network面板，找到发往/user接口的请求，查看请求头中是否存在Cookie: jwt=xxx字段：
  • 如果请求头中没有该字段，问题完全出在浏览器侧的Cookie携带规则，和服务端读取逻辑无关，回到前面几个配置项核对即可
  • 如果请求头中已经携带了jwt Cookie，服务端仍读取为null，再检查反向代理（如Nginx）、服务端中间件是否存在改写/丢弃Cookie请求头的逻辑。

内容的提问来源于stack exchange，提问作者Xetai Babayev