Firebase Functions配置CORS后跨域Cookie无法正常持久存储问题求助

配置错误点 #

• CORS配置错误：你设置的Access-Control-Allow-Headers: 'credentials'是无效配置，credentials是fetch请求的参数而非请求头，正确的允许头应该包含Cookie、Content-Type等跨域请求常用头；同时你没有处理OPTIONS预检请求，部分浏览器跨域场景下会先发送OPTIONS请求校验跨域规则，未正确响应会导致后续cookie设置被拦截。
• Cookie缺少domain属性：当前Set-Cookie未显式指定domain，默认会绑定到api.example.com，如果你的前端站点使用其他子域名（比如www.example.com）或者根域名，会导致cookie作用域不匹配，无法被后续请求携带，也会出现存储异常。
• SameSite属性滥用：SameSite: None仅用于真正的跨站请求场景，如果你的前端站点和API同属example.com根域，属于同站场景，使用None反而会触发浏览器的第三方cookie拦截规则，这也是Firefox、Safari无法存储Cookie、Chrome刷新后Cookie丢失的核心原因。

可行解决建议 #

1. 修正Cloud Functions的配置，优先处理预检请求、补全CORS规则、调整Cookie属性：

exports.test = functions
    .https.onRequest((request, response) => {
        const expiresIn = 60 * 60 * 24 * 5 * 1000;
        const origin = request.headers.origin;
        // 首先处理OPTIONS预检请求
        if (request.method === 'OPTIONS') {
            response.set('Access-Control-Allow-Origin', origin);
            response.set('Access-Control-Allow-Credentials', true);
            response.set('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
            response.set('Access-Control-Allow-Headers', 'Content-Type, Cookie');
            return response.status(204).send();
        }

        // 同站场景下SameSite改为Lax，domain配置为根域名适配所有子站
        const options = { 
            maxAge: expiresIn, 
            httpOnly: true, 
            secure: true, 
            sameSite: 'Lax',
            domain: '.example.com'
        };
        response.cookie('__session', "123456", options);
        response.set('Access-Control-Allow-Origin', origin);
        response.set('Access-Control-Allow-Credentials', true);
        response.end(JSON.stringify({ status: 'success' }));
})

2. 最优方案：通过Firebase Hosting路径重写实现同域调用，彻底规避跨域Cookie限制
   在你的firebase.json中添加重写规则，将前端域名下的/api/*路径转发到Cloud Functions，这样前端直接请求https://www.example.com/api/test，和站点完全同域，不需要处理跨域规则，也不会触发浏览器的Cookie拦截策略，示例重写配置：

{
  "hosting": {
    "rewrites": [
      {
        "source": "/api/**",
        "function": "test"
      }
    ]
  }
}

3. 若确实需要跨站场景使用SameSite: None，需要提示用户关闭对应站点的跟踪拦截功能，或者主动适配老版本浏览器的SameSite兼容规则。

内容的提问来源于stack exchange，提问作者Juju