Firebase Auth服务端设置__session cookie后受保护路由未携带该cookie问题

常见原因及对应解决方法 #

• Cookie路径/域配置缺失
  当前代码没有显式指定path参数，默认会继承sessionLogin接口的路径作为Cookie作用路径，若其他路由不在该路径下自然无法读取到Cookie。修改时补充path='/'让Cookie全站生效，跨子域场景还需要补充domain参数指定根域名。
• Secure属性与运行环境不匹配
  代码开启了secure=True，该配置要求只有HTTPS协议的请求才会携带Cookie，本地开发使用HTTP协议时浏览器会自动拦截该Cookie的发送。可根据运行环境动态调整该值，开发环境设为False，生产环境保持True即可。
• SameSite默认配置限制
  当前主流浏览器对未显式指定SameSite属性的Cookie默认赋值为Lax，如果你的前端页面和后端接口属于跨站场景，跨站请求不会自动携带该Cookie。跨站场景需要补充SameSite='None'配置，且该配置必须搭配secure=True使用。
• 重定向响应未携带Set-Cookie头
  检查代码逻辑是否存在响应对象丢失的问题：如果是先创建普通响应对象设置Cookie，又单独调用redirect生成新的重定向响应返回，设置的Cookie不会被带到最终响应里。正确写法是直接为重定向响应设置Cookie，以Flask为例：

resp = make_response(redirect(url_for('home')))
resp.set_cookie(
    '__session', session_cookie, expires=expires, httponly=True, secure=True, path='/', samesite='Lax'
)
return resp

内容的提问来源于stack exchange，提问作者h4v3st