Axios响应带Set-Cookie但未存储 跨域Laravel+React场景问题

1. 验证Cookie存储的查看路径 #

注意：跨域场景下Cookie归属于响应接口的所属域名，你需要在开发者工具「Application > Cookies > 你的后端域名（即http://domin.com）」路径下查看是否存储，而非前端localhost:3000的Cookie列表中查找，90%的类似问题都是此处的认知偏差导致。

2. 修正Laravel端Cookie配置 #

检查Laravel项目config/session.php文件的以下配置项：

• secure：如果后端走HTTPS必须设为true，本地HTTP测试可以临时设为false
• same_site：跨域场景下HTTPS环境需设为'none'，本地HTTP测试需设为'lax'，注意SameSite=None必须和Secure=true配套使用，否则浏览器会直接拒绝存储
• domain：填写后端接口的根域名，示例：'domin.com'
• path：保持默认'/'即可

3. 补全CORS配置 #

你当前的.htaccess配置不全，缺少请求方法允许配置和预检请求处理，替换为以下配置：

Header set Access-Control-Allow-Origin "http://localhost:3000"
Header set Access-Control-Allow-Credentials "true"
Header set Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept, Authorization"
Header set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"

# 处理OPTIONS预检请求直接返回200状态，避免拦截
RewriteEngine On
RewriteCond %{REQUEST_METHOD} OPTIONS
RewriteRule ^(.*)$ $1 [R=200,L]

4. 确认axios配置有效性 #

• 如果你配置了axios全局默认值，需确保全局也开启了凭证携带：

  axios.defaults.withCredentials = true
  

• 不要在请求头里手动设置Cookie字段，浏览器会自动携带符合规则的Cookie，手动设置会触发跨域拦截。

5. 浏览器配置排查 #

现代浏览器默认会拦截未设置SameSite=None+Secure的第三方跨站Cookie，本地测试时可临时关闭浏览器的第三方Cookie拦截功能验证，生产环境必须按照要求配置Cookie的SameSite和Secure属性。

内容的提问来源于stack exchange，提问作者hsn u