本地localhost环境下Set-Cookie响应头存在但Chrome未存储Cookie求助

问题根因与解决方案 #

• 你当前的Cookie配置存在规则冲突：Chrome强制要求 SameSite: None 的Cookie必须同时开启 Secure: true，否则会直接拒收该Cookie。你当前配置 sameSite: "none" 但 secure: false，完全不符合Chrome的Cookie存储规则，这是最核心的问题。
• 其次参数类型错误：res.cookie 的 maxAge 要求传入数字类型（单位为毫秒），你传入了字符串"100000"，会导致Cookie过期时间解析失败，同样会被拒收。
• 额外确认CORS配置：如果你的前后端端口不同（属于跨域场景），需要确保后端CORS配置同时满足两个要求：Access-Control-Allow-Origin 必须精确匹配前端域名（不能设为*），Access-Control-Allow-Credentials 必须设为true。

本地开发环境修正方案 #

本地localhost场景不需要设置SameSite: None，直接调整Cookie配置即可：

res.cookie("access-token", token.token, {
  httpOnly: true, 
  sameSite: "Lax", // 本地开发用Lax完全满足需求
  maxAge: 100000, // 改为数字类型，单位毫秒
  secure: false // 本地是HTTP环境，关闭secure
});

如果本地非要测试SameSite: None的配置，可将secure设为true，Chrome对localhost域名做了例外处理，HTTP环境下也会允许Secure Cookie存储。

生产环境配置方案 #

如果生产环境是HTTPS，可按以下配置：

res.cookie("access-token", token.token, {
  httpOnly: true, 
  sameSite: "none",
  maxAge: 1000 * 60 * 60 * 24 * 7, // 按需设置过期时间，数字类型
  secure: true // 生产HTTPS环境开启secure
});

调试排查技巧 #

如果修改后仍有问题，可以打开Chrome DevTools：

1. 进入Application面板，找到Storage > Cookies下对应的后端域名
2. 被拒收的Cookie会被标红，鼠标悬浮在警告标识上即可看到Chrome给出的具体拒收原因，可快速定位问题。

内容的提问来源于stack exchange，提问作者redmaster