Express返回Set-Cookie响应头但浏览器Application中Cookie为空如何解决

• 客户端请求配置错误：withCredentials 是axios/fetch的顶层配置项，你当前把它放在headers属性下属于配置位置错误，导致请求不会自动携带/存储跨域Cookie。
• Cookie属性配置不符合规范：你设置了sameSite: "none"，但未配套设置secure: true，根据浏览器规范，SameSite=None的Cookie必须同时标记为Secure（仅在HTTPS环境下传输）才会被存储，本地HTTP开发环境下该配置会直接触发浏览器拒收逻辑。
• 服务端CORS配置缺失：如果是跨域请求，服务端未配置Access-Control-Allow-Credentials: true，或者Access-Control-Allow-Origin设置为通配符*，都会导致浏览器拒绝存储响应头返回的Cookie。

1. 修正客户端请求配置
   将withCredentials移到配置顶层：

const config = { withCredentials: true };
export const login = (datas) => API.post("/api/auth/login", datas, config);

2. 修正服务端Cookie配置，按环境适配属性

const isProd = process.env.NODE_ENV === 'production'
await res
    .status(response.statusCode)
    .cookie("token", response.data.token, {
        path: "/",
        maxAge: 7 * 24 * 60 * 60 * 1000,
        httpOnly: false,
        sameSite: isProd ? "none" : "lax",
        secure: isProd // 生产环境HTTPS下开启，本地开发HTTP环境关闭
    })
    .json(response);

3. 修正服务端CORS配置
   确保返回头包含：

Access-Control-Allow-Origin: <你的前端域名，例如http://localhost:5173，不能用*>
Access-Control-Allow-Credentials: true

如果用了cors中间件，配置示例：

const cors = require('cors')
app.use(cors({
  origin: 'http://localhost:5173', // 替换为你的前端实际地址
  credentials: true
}))

4. 本地开发时避免前后端域名混用，比如不要前端用localhost访问，接口请求用127.0.0.1，二者属于不同源，也会导致Cookie存储失败。

内容的提问来源于stack exchange，提问作者nkorotkoff