NET 5 跨域场景下AJAX请求未携带Cookie问题求助

可能的原因 #

• 核心原因：SameSite=None配置未搭配Secure属性：按照Chrome 80+、新版Firefox、Edge等现代浏览器的规范，标记为SameSite=None的Cookie必须同时设置Secure属性，仅允许通过HTTPS协议传输，否则浏览器会直接拒收该Cookie。你在第一次请求的响应中虽然能看到Set-Cookie头，但浏览器不会实际存储该Cookie，自然第二次请求就无法携带。
• 次要排查原因：Cookie的Domain/Path配置不匹配：如果Cookie的Domain设置和服务端域名不一致，或者Path限制了作用范围，也会导致后续请求无法匹配到对应Cookie。
• 特殊场景：Azure应用服务前置代理配置问题：如果Azure端开启了不符合预期的请求头改写、HTTPS重定向规则，可能会篡改响应中的Set-Cookie头。

可行解决方案 #

1. 修正Cookie配置，补充Secure属性 #

修改AController中的CookieOptions代码，新增Secure = true配置：

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Expires = DateTime.Now.AddMinutes(10),
    SameSite = SameSiteMode.None,
    // 新增Secure配置
    Secure = true
};

2. 可选：明确指定Cookie的作用域 #

如果需要适配更复杂的域名场景，可明确配置Cookie的Domain和Path，确保作用范围完全匹配服务端：

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Expires = DateTime.Now.AddMinutes(10),
    SameSite = SameSiteMode.None,
    Secure = true,
    // 替换为你的Azure服务端实际域名
    Domain = "somewebsite.azurewebsites.net",
    Path = "/"
};

3. Azure端配置校验 #

登录Azure应用服务控制台，进入「配置」-「常规设置」页面确认：

• 已开启「HTTPS Only」选项，避免HTTP请求导致Secure Cookie不生效
• 关闭不必要的请求头改写规则，避免Set-Cookie头被篡改

4. 快速验证步骤 #

如果修改后问题仍存在，可按以下步骤定位：

1. 打开浏览器开发者工具「网络」面板，查看第一次请求/api/a的响应头，确认Set-Cookie字段是否携带Secure; SameSite=None标记
2. 切换到「应用/存储」面板，查看Cookie存储列表，确认mykey对应的Cookie是否成功写入
3. 查看第二次请求/api/b的请求头，确认Cookie字段是否携带了对应的mykey值

内容的提问来源于stack exchange，提问作者Marko