ASP.NET Core 2.1 MVC 无法将WebAPI返回的Cookie存入浏览器如何解决？

你遇到的是跨域场景下Cookie无法写入浏览器的典型问题，按以下步骤修改即可：

1. 修复CORS配置冲突 #

ASP.NET Core 2.1 不允许AllowAnyOrigin()和AllowCredentials()同时配置，存在安全风险，必须明确指定允许的跨域源：

services.AddCors(options =>
{
    options.AddDefaultPolicy(
        builder =>
        {
            // 替换通配符为你的MVC客户端实际地址
            builder.WithOrigins("http://testdomain.com:8458")
                 .AllowAnyMethod()
                 .AllowAnyHeader()
                 .AllowCredentials();
        });
});

你当前的CORS中间件放在UseMvc之前的顺序是正确的，无需调整。

2. 调整WebAPI的Cookie配置 #

设置Cookie时明确指定域名、同源策略等参数：

HttpContext.Response.Cookies.Append(
    "cookieKey",
    "cookieValue",
    new Microsoft.AspNetCore.Http.CookieOptions { 
        IsEssential = true,
        // 配置为根域名，保证同根域名不同端口的服务都可访问Cookie
        Domain = "testdomain.com",
        // HTTP环境下用Lax，HTTPS环境如果需要跨站可设为SameSiteMode.None且Secure=true
        SameSite = SameSiteMode.Lax,
        Path = "/"
    }
);

3. 匹配调用场景补充配置 #

场景A：前端直接调用WebAPI接口 #

前端发起请求时必须开启携带凭据的配置：

• 原生fetch请求：配置credentials: 'include'
• Axios请求：配置withCredentials: true
• jQuery Ajax请求：配置xhrFields: { withCredentials: true }

场景B：MVC服务端代理调用WebAPI（你当前代码的场景） #

你当前在MVC的Action中用服务端HttpClient调用WebAPI，WebAPI返回的Set-Cookie头只会被MVC服务端接收，不会自动转发给浏览器，需要手动提取写入响应：

[Microsoft.AspNetCore.Cors.EnableCors]
[HttpGet]
[AllowAnonymous]
public async Task<IActionResult> ShowOrdersAsync(string parameter)
{
    var response = await serviceClient.GetOrdersFromBackendAsync(parameter);
    // 提取WebAPI返回的Set-Cookie头
    if (response.Headers.TryGetValues("Set-Cookie", out var setCookieValues))
    {
        foreach (var cookie in setCookieValues)
        {
            Response.Headers.Add("Set-Cookie", cookie);
        }
    }
    return Ok(response);
}

内容的提问来源于stack exchange，提问作者191180rk