Set-Cookie响应头Postman生效但浏览器缺失，ExpressJS项目问题求助

排查解决步骤 #

• 先检查前端请求配置：带Cookie的跨域请求必须显式开启凭证传递，fetch请求需配置credentials: 'include'，axios请求需配置withCredentials: true。Postman默认自动处理凭证传递，所以不会出现该问题。
• 补全CORS配置：
  1. 新增响应头Access-Control-Allow-Credentials: true，否则浏览器会拒绝接收跨域返回的Cookie
  2. Access-Control-Allow-Origin不能设置为通配符*，必须指定为前端的实际访问域名（比如http://localhost:3000），带凭证的跨域请求不支持通配符Origin配置
• 校验Cookie的secure属性匹配性：你当前配置secure: process.env.NODE_ENV !== 'test'，且sameSite设为了none，按照浏览器规则，sameSite: none的Cookie必须搭配secure: true，且仅能在HTTPS协议下被写入。如果是本地开发用HTTP协议访问，需要临时调整配置为secure: process.env.NODE_ENV === 'production'，或者给本地服务配置HTTPS。
• 检查Nginx转发配置：
  1. 确认没有配置proxy_hide_header Set-Cookie隐藏响应头
  2. 需新增proxy_set_header X-Forwarded-Proto $scheme;配置，因为你开启了trust proxy，Express依赖该头识别请求的真实协议，识别错误会导致符合secure要求的Cookie不会被后端返回
• 快速定位技巧：打开浏览器DevTools的「网络」面板，找到signup请求的响应头，查看Set-Cookie旁的黄色警告标识，点击即可看到浏览器给出的具体写入失败原因。

内容的提问来源于stack exchange，提问作者jeepers3327