同根域下不同子域名间设置Cookie被浏览器拒绝问题咨询

安全阿岳

2026-9-28

Cookie被拒绝的核心原因

你遇到的问题本质是跨子域CORS场景下的Cookie凭证配置不符合浏览器规范，和Domain前导点无关，具体原因通常是以下三类：

前端请求未开启跨域凭证开关：浏览器默认不会接收跨域响应返回的Cookie，需要主动在请求中配置允许携带/接收凭证。
后端CORS配置不符合规范：跨域场景下如果CORS响应头配置错误，浏览器会直接拦截响应返回的Cookie。
环境不满足Secure属性要求：你配置了SameSite=None和Secure属性，这类Cookie只能在HTTPS环境下生效，HTTP测试环境会直接被拒绝。

具体解决方案

按以下步骤调整配置即可正常设置Cookie：

1. 调整前端请求配置

根据你使用的请求工具添加凭证允许参数：

fetch API 添加 credentials: 'include' 配置：

fetch('https://api.development.project.com/login', {
  method: 'POST',
  credentials: 'include',
  // 其余请求配置
})

axios/XMLHttpRequest 添加 withCredentials: true 配置：

axios.post('https://api.development.project.com/login', {/* 请求体 */}, {
  withCredentials: true
})

2. 调整API服务端CORS配置

响应头必须配置以下内容：

Access-Control-Allow-Origin 不能使用通配符*，必须显式指定为https://cms.development.project.com
必须添加Access-Control-Allow-Credentials: true响应头
如果存在OPTIONS预检请求，还需要配置Access-Control-Allow-Methods、Access-Control-Allow-Headers放行对应的请求方法和自定义头

3. 调整Cookie属性配置

不需要加前导点，直接设置Domain=development.project.com即可，该配置会让Cookie在所有*.development.project.com子域下生效，其余属性保留HttpOnly、Secure、SameSite=None，Path设置为/即可。
如果需要Cookie同时对project.com下的所有子域生效，可以直接设置Domain=project.com，确认你的根域不属于公共后缀列表即可正常生效。