Angular withCredentials在GET请求中失效（ng build --no-aot场景）

看起来你遇到的问题很典型——开发环境正常，生产构建后跨域请求丢失Cookie。虽然你的CORS和Angular配置看起来没问题，但有几个容易忽略的细节可能导致这个情况，我帮你梳理一下：

1. 主机名不一致：localhost vs 127.0.0.1 #

这是最容易踩的坑！浏览器会把localhost和127.0.0.1视为完全独立的域。

• 你的Spring配置允许的Origin是http://127.0.0.1:8080，但如果后端设置Cookie时用的是localhost作为域名，那么运行在127.0.0.1:8080的构建后应用，发起请求到localhost:9084时，浏览器会认为Cookie的域和当前应用的域不匹配，不会携带Cookie。
• 而开发模式下（ng serve），你可能是用localhost:8080访问应用的，这时候和Cookie的域一致，所以能正常发送。

解决方案：

• 统一使用同一个主机名：要么把Spring的addAllowedOrigin改成http://localhost:8080，同时用localhost:8080访问构建后的应用；要么后端设置Cookie时把domain指定为127.0.0.1，并用127.0.0.1:9084访问后端。

2. Cookie的SameSite属性限制 #

现代浏览器默认的Cookie SameSite属性是Lax，这个规则会阻止跨域AJAX请求携带Cookie（仅允许顶级导航的GET请求携带）。

• 如果你的后端没有显式设置Cookie的SameSite属性，浏览器会用默认的Lax，导致跨域AJAX GET请求无法携带Cookie。
• 开发环境下可能因为浏览器的调试豁免规则，或者你用了代理绕过了这个限制，但生产构建后没有这个豁免。

解决方案：

• 后端设置Cookie时，显式指定SameSite=None; Secure。注意：Secure属性要求请求必须是HTTPS，所以本地HTTP环境下这个设置会被浏览器拒绝（不会保存Cookie）。这种情况下，你要么切换到HTTPS，要么本地开发时临时把SameSite设为Lax，但生产环境必须用None; Secure。
• Spring中设置Cookie的示例：

Cookie cookie = new Cookie("your-cookie-name", "value");
cookie.setSameSite("None");
cookie.setSecure(true); // 仅HTTPS环境可用
cookie.setDomain("127.0.0.1"); // 统一域名
response.addCookie(cookie);

3. Angular构建后的配置验证 #

虽然你在HttpClient中设置了withCredentials: true，但生产构建（即使是--no-aot）可能因为编译优化或者拦截器的影响，导致这个配置被覆盖：

• 检查你的HTTP拦截器，有没有地方修改了请求的withCredentials属性，比如某些拦截器可能在生产模式下默认关闭了这个选项。
• 打开浏览器开发者工具的Network标签，查看实际发送的GET请求的Request Headers，确认是否包含Cookie字段。如果没有，说明Angular的配置没有生效，需要排查代码中的拦截器或者请求配置逻辑。

4. 路径匹配问题 #

检查构建后的应用发起的请求路径是否正确：

• 如果你的应用设置了base-href，确保请求路径没有因为base href的变化而指向错误的域名，导致Cookie的Path不匹配。
• 确认Cookie的Path属性是/（或者和请求路径匹配），否则浏览器只会在匹配的路径下携带Cookie。

建议你先打开浏览器的Application标签，查看Cookie的属性（Domain、SameSite、Secure），这能快速定位问题所在。

内容的提问来源于stack exchange，提问作者Tr1monster