微服务架构下跨域POST传参后WebApp2无法设置Cookie问题求助

核心原因 #

• 重复调用SetInfo接口导致Cookie被覆盖：你在POST请求SetInfo成功后，直接重定向到了同一个SetInfo地址，重定向是GET请求，此时GET请求的请求体为空，SetInfo接口会把空字符串写入Cookie，直接覆盖了之前POST请求写入的有效内容。
• 跨域AJAX默认禁止写入第三方Cookie：WebApp1和WebApp2属于不同域名，默认情况下jQuery的AJAX请求不会携带跨域凭证，即使WebApp2返回了Set-Cookie响应头，浏览器也会默认拦截，不会写入本地Cookie。
• Cookie属性不符合跨域要求：跨域场景下写入Cookie必须设置SameSite=None和Secure=true，缺少这两个属性浏览器会直接拒绝存储Cookie。
• Cookie超出大小限制：单条Cookie的最大存储容量通常为4KB，如果你传递的base64编码内容超过这个阈值，浏览器会直接丢弃该Cookie。

修复步骤 #

1. 修正重定向逻辑，避免重复调用SetInfo
   将重定向目标改为WebApp2的实际业务页面，不要重复跳转至SetInfo接口，同时给SetInfo接口加上[HttpPost]限定只接受POST请求：

[HttpPost] // 新增特性，禁止GET请求访问
public async Task<IActionResult> SetInfo()
{
    // 原有逻辑不变
}

前端代码拆分请求地址和跳转地址：

var setInfoUrl = "https://webapp2/SetInfo";
var targetPageUrl = "https://webapp2/你的业务页面地址"; // 不要填SetInfo地址
$('#go').submit(function () {
    $.ajax({ 
        data: $(this).serialize(),
        type: $(this).attr('method'), 
        url: $(this).attr('action'), 
        success: function (response) {
            $.post({
                url: setInfoUrl,
                type: "POST",
                // 新增跨域凭证配置
                xhrFields: {
                    withCredentials: true
                },
                crossDomain: true,
                success: function () {
                    window.location.replace(targetPageUrl);
                }
            })
        },
        error: function (response) {
            alert(response)
        }
    });
    return false; 
});

2. 配置WebApp2的跨域策略
   在WebApp2的Program.cs/Startup.cs中配置CORS规则，明确允许WebApp1的域名访问，同时开启凭证支持：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowWebApp1", policy =>
    {
        policy.WithOrigins("https://webapp1的实际域名") // 不能用AllowAnyOrigin
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启允许凭证
    });
});
// 中间件管道要加上app.UseCors("AllowWebApp1")，放在UseAuthorization之前

3. 补全Cookie配置项
   修改SetInfo接口中的Cookie配置，添加跨域必需的属性：

_httpContext.HttpContext.Response.Cookies.Append("Info", info, new CookieOptions
{
    Expires = DateTime.Now.AddHours(12),
    IsEssential = true,
    SameSite = SameSiteMode.None, // 跨域必须设为None
    Secure = true, // SameSite=None要求必须开启Secure，仅HTTPS可用
    HttpOnly = false // 如果你不需要前端JS读取Cookie可以设为true提升安全性
});

4. 大体积内容的替代方案
   如果你的base64内容超过4KB，直接放弃Cookie方案：WebApp1把base64内容写入Redis等分布式缓存，生成一个唯一的短Key，把Key放在查询字符串中传给WebApp2，WebApp2拿到Key后去缓存中读取完整内容即可，兼容性和稳定性远高于Cookie方案。

内容的提问来源于stack exchange，提问作者Mekroebo