ASP.NET Core CORS跨域场景下不同子域名Auth Cookie无法设置问题

你的CORS配置已经符合跨域带凭据的要求，不需要额外调整，问题出在Cookie规则和前端请求配置上。

问题原因 #

• 核心原因：Set-Cookie中的SameSite=Strict配置限制。Strict模式要求请求的发起源和Cookie的目标源完全匹配，跨子域名的场景下不符合Strict的校验规则，浏览器会直接拒绝写入该Cookie。
• 次要可能原因：前端发起跨域请求时未开启凭据携带配置，这种情况下浏览器会直接忽略跨域响应的Set-Cookie头。

解决方案 #

1. 调整Cookie的SameSite属性 #

将身份验证Cookie的SameSite配置从Strict修改为Lax即可适配跨子域名场景，修改后的Set-Cookie示例如下：
Set-Cookie: auth=XXX; domain=.domain.de; path=/; secure; samesite=lax; httponly
如果你的业务场景需要更宽松的限制，也可以设置为SameSite=None，但需要确保已经开启secure属性（你当前配置已经满足该要求）。

2. 确认前端请求开启凭据携带 #

不同请求工具的配置方式如下：

• Fetch API：请求时添加credentials: 'include'参数

  fetch('https://server2.domain.de/xxx', {
    method: 'POST',
    credentials: 'include'
  })
  

• Axios：全局配置或单次请求添加withCredentials: true

  // 全局配置
  axios.defaults.withCredentials = true;
  // 单次请求配置
  axios.post('https://server2.domain.de/xxx', {}, {
    withCredentials: true
  })
  

• 原生XMLHttpRequest：设置xhr.withCredentials = true

3. 校验项 #

确认你配置的父域名.domain.de完全匹配两个子域名的根域名，没有拼写错误即可，配置完成后可以在浏览器开发者工具「应用-存储-Cookie」路径下确认Cookie是否写入成功。

内容的提问来源于stack exchange，提问作者neoky