跨子域请求登录接口返回Session Cookie无法存储问题求助

1. 前端跨域请求配置缺失 #

跨域请求要携带/接收Cookie时，必须在请求端开启凭证传输配置：

• 原生XHR请求：设置xhr.withCredentials = true
• Fetch API请求：添加参数credentials: 'include'
• Axios请求：设置withCredentials: true
  如果没有开启该配置，浏览器会直接忽略响应返回的Set-Cookie头，即使响应头配置正确也不会存储。

2. Cookie Domain配置不一致 #

你提供的PHP配置代码中Domain字段为.mysite.com.co，但实际响应Set-Cookie头中Domain为.mysite.com：

• 确认你的实际业务域名后缀，PHP配置要和实际使用的域名完全匹配，避免配置不生效的问题
• 同根域名下的跨子域Cookie，Domain配置为.mysite.com是正确的，可覆盖所有子域

3. SameSite=None兼容问题 #

你已经配置了SameSite=None+Secure，符合规范要求，但仍需注意兼容场景：

• 低于Chrome 80、Safari 13、Firefox 69的旧版本浏览器不识别SameSite=None属性，会默认按SameSite=Lax处理，导致跨域Cookie被拦截
• 针对旧版本浏览器可以做降级处理，根据UA判断是否返回SameSite属性

4. 预检请求校验问题 #

浏览器发起跨域POST请求前会先发送OPTIONS预检请求：

• 确保你的服务端正确响应OPTIONS请求，同样返回Access-Control-Allow-Credentials: true头，不要只在POST接口返回该配置
• 预检请求的Access-Control-Allow-Origin不能设为*，必须和实际请求的Origin完全匹配，你当前配置为https://admin.mysite.com是符合要求的

5. 第三方Cookie拦截校验 #

部分浏览器的隐私模式、或者开启了第三方Cookie拦截的场景下，跨子域请求的Cookie也可能被拦截：

• 可以在浏览器控制台的「应用-存储-Cookie」路径下手动添加对应Cookie测试是否能正常携带
• 检查浏览器控制台的「问题」面板，是否有Cookie被拦截的明确提示，会标注具体拦截原因

内容的提问来源于stack exchange，提问作者Luis Felipe Salas Guerrero