Electron应用调用接口后localhost下的Cookie无法查看是什么原因？

• 核心配置冲突：你配置了SESSION_COOKIE_SECURE = True，该属性要求Cookie仅能在HTTPS协议下被存储、传输，你当前开发环境使用HTTP协议，服务端返回的带Secure标识的Cookie会被Electron内置的Chromium内核直接丢弃，所以即使SameSite警告消失，也无法在开发者工具中看到对应Cookie。
• 注意：W3C标准要求SameSite=None必须搭配Secure属性，但该规则仅在HTTPS环境下生效，HTTP环境下该组合无法正常存储Cookie。

1. 调整Django开发环境配置，注意保留生产环境的安全配置分支：

# settings.py
if DEBUG:
    # 开发环境HTTP协议关闭Secure要求
    SESSION_COOKIE_SECURE = False
    # 跨域场景仍保留SameSite=None配置，注意Django 3.1及以上版本才支持该值
    SESSION_COOKIE_SAMESITE = 'None'
    # 允许跨域请求携带凭证（必配，否则前端请求不会自动带Cookie）
    CORS_ALLOW_CREDENTIALS = True
    # 添加上游前端地址到跨域白名单
    CORS_ALLOWED_ORIGINS = [
        # 若Angular是本地http服务启动，填对应地址，比如默认端口4200
        "http://localhost:4200",
        # 若Electron是用file://协议加载本地打包后的Angular文件，新增该配置
        "file://"
    ]

2. Angular端所有发往后端的HTTP请求，必须开启withCredentials配置，示例：

// Angular HttpClient 调用示例
this.http.post('http://localhost:8000/api/account/login', loginPayload, {
  withCredentials: true
})

3. 若Electron使用file://协议加载本地Angular文件，需新增主进程配置，放行跨域与Cookie存储限制：

// Electron 主进程 BrowserWindow 配置
const mainWindow = new BrowserWindow({
  // 其他窗口配置省略
  webPreferences: {
    // 开发环境临时关闭跨域安全限制，生产环境需移除该配置
    webSecurity: false,
    cookies: true
  }
})

// 统一给发往后端的请求添加Origin头，匹配Django CORS配置
session.defaultSession.webRequest.onBeforeSendHeaders((details, callback) => {
  details.requestHeaders['Origin'] = 'http://localhost'
  callback({ requestHeaders: details.requestHeaders })
})

• 打开Electron开发者工具，切换到应用(Application)标签，左侧存储栏找到Cookie分类，选择你的后端服务地址，即可看到存储的sessionid Cookie。
• 若因file协议限制开发者工具未展示Cookie，可直接调用需要登录态的业务接口，若接口正常返回权限内数据，说明Cookie已生效。
• 也可在Electron主进程中直接打印存储的Cookie确认：

session.defaultSession.cookies.get({url: 'http://localhost:8000'})
  .then(cookies => console.log('已存储的Cookie列表：', cookies))

生产环境后端部署HTTPS后，需将SESSION_COOKIE_SECURE改回True，同时移除Electron主进程中关闭webSecurity的配置，保证安全。

内容的提问来源于stack exchange，提问作者PleasantFuban