React+Rails跨域部署时Set-Cookie因SameSite=Lax被拦截如何修复？

这个报错是浏览器SameSite Cookie策略的默认限制导致的：跨站异步请求（非页面顶级跳转）返回的Set-Cookie头如果携带SameSite=Lax属性会被直接拦截，你的前后端部署在不同域名下属于典型跨站场景，而Rails默认生成的Session Cookie的SameSite属性为Lax，因此触发拦截规则。

• 1. 修改Rails Session存储配置
     创建/修改config/initializers/session_store.rb文件，按运行环境适配Cookie属性：

Rails.application.config.session_store :cookie_store, 
  key: '_your_app_session', # 替换为你的应用实际session键名
  same_site: Rails.env.production? ? :none : :lax,
  secure: Rails.env.production?,
  httponly: true # 建议开启，防止XSS攻击盗取Cookie

跨站场景下必须将SameSite设为None，且该属性要求必须搭配Secure属性（仅HTTPS环境下传输Cookie），因此生产环境要同步开启Secure配置，本地开发环境保持原有配置即可。

• 2. 开启生产环境强制HTTPS
     修改config/environments/production.rb，确保开启强制HTTPS配置，保证Secure属性的Cookie正常传输，同时自动适配HTTPS相关响应头：

config.force_ssl = true

• 3. 验证配置生效
     部署后重新发起登录请求，在浏览器开发者工具的网络面板查看登录接口的响应头，确认Set-Cookie字段已经同时携带SameSite=None和Secure属性，且Access-Control-Allow-Credentials为true即可。

• 确认Heroku上的Rails运行环境为production模式，避免环境配置不生效
• 你现有前端RTK Query的credentials: 'include'、后端CORS配置都符合要求，无需额外修改
• 验证时可以先清空浏览器已有相关Cookie，避免旧的无效Cookie干扰验证结果

内容的提问来源于stack exchange，提问作者Cosmel