自动页面重定向后会话Cookie丢失问题排查

Cookie丢失和跳转API、CORS配置、前后端框架本身无关，核心原因是主机名混用导致Cookie存储域和访问域不匹配：

• 从CORS配置可以确认，你的前端页面运行在https://127.0.0.1:3000下，但登录接口的请求地址写的是https://localhost:4000/users，混用了127.0.0.1和localhost两个主机名。
• 浏览器的Cookie存储严格绑定域名（含主机名），127.0.0.1和localhost虽然都指向本地回环地址，但在浏览器安全规则里属于完全独立的两个域名。后端返回Set-Cookie头时没有显式指定Domain属性，浏览器会默认将Cookie绑定到发起请求的源，也就是localhost:4000域下。
• 执行document.location.href = '/dashboard'时，相对路径会跳转到当前页面所属源https://127.0.0.1:3000/dashboard，该源下的所有请求默认不会携带绑定在localhost:4000下的Cookie，你在当前域下查看Cookie存储自然找不到对应记录，表现为Cookie被异常清除。
• 手动点击站内链接时Cookie正常，是因为这些链接触发的接口请求大概率写死了https://localhost:4000的完整地址，请求发往localhost:4000时会自动携带对应域下的Cookie，符合预期。

打开浏览器开发者工具的「应用/Application」面板，在Cookie分类下分别查看127.0.0.1:3000、127.0.0.1:4000、localhost:4000三个域的存储内容，会发现session Cookie正常保存在localhost:4000域下，并没有被实际删除。

• 统一所有访问入口的主机名，禁止混用127.0.0.1和localhost：如果前端通过127.0.0.1:3000访问，就把fetch请求的接口地址改为https://127.0.0.1:4000，同时确认自签名TLS证书包含127.0.0.1的SAN配置，避免证书报错。
• 本地开发场景不需要设置SameSite=None，统一域名后将Cookie的SameSite属性改为Lax即可，既符合浏览器安全规则，也不会影响正常跳转时的Cookie携带。
• 前后端分离开发时，建议在前端开发服务器配置接口代理，将接口路径统一代理到后端服务端口，所有请求用相对路径发起，从根源上避免跨域、域名不匹配问题。

内容的提问来源于stack exchange，提问作者Jeremy Meadows