通过图片在外部域名设置Cookie失效，单点登录(SSO)配置求助

我来帮你排查这个跨域SSO的Cookie问题——这种通过1像素图片设置第三方Cookie的方案确实是行业通用做法（谷歌那套也是类似逻辑），但浏览器现在对Cookie的安全限制越来越严，你大概率是漏了几个关键的Cookie属性配置，下面逐一分析：

从你的描述来看，响应头里的Set-Cookie能被开发者工具捕获，但实际不生效，几乎肯定是Cookie的安全属性不符合浏览器要求，导致被静默拦截了。

1. 必须显式设置 SameSite=None #

现在Chrome、Firefox等主流浏览器默认将Cookie的SameSite属性设为Lax，这种模式下：

• 只有顶级导航的GET请求（比如用户直接点击链接跳转到.nl）才会携带Cookie
• 像从.com域名加载.nl的图片这种跨域子资源请求，返回的Set-Cookie会被浏览器直接拦截，不会存储到本地

你必须在Set-Cookie里显式加上：
SameSite=None

2. 搭配 Secure 属性是强制要求 #

当SameSite=None时，浏览器会强制要求Cookie必须是Secure的——也就是只能通过HTTPS协议传输。如果你的.nl站点还在使用HTTP，那这个Cookie根本存不下来；如果已经是HTTPS，一定要在Set-Cookie里补上：
Secure

3. 检查 Path 属性是否覆盖全站 #

如果你的Set-Cookie里指定了特定Path（比如Path=/api），那只有访问.nl域名下对应路径的页面才能看到这个Cookie。为了让整个.nl站点都能获取到SSO Cookie，建议显式设置：
Path=/

4. 确认 Domain 属性的格式 #

虽然你提到设置了domain=mysite.nl，但要注意：

• 如果.nl站点的实际访问域名是www.mysite.nl，那Domain属性应该设为.mysite.nl（前面加英文点），这样所有子域名都能共享这个Cookie
• 如果就是纯mysite.nl域名，直接写mysite.nl是正确的，但要避免拼写错误（比如多打/少打点）

正确的Set-Cookie示例 #

把这些属性组合起来，最终的Set-Cookie应该类似这样：

Set-Cookie: sso_session=your_token_here; Domain=mysite.nl; Path=/; Secure; SameSite=None; HttpOnly

（HttpOnly不是必须的，但加上能防止XSS攻击窃取Cookie，建议加上）

额外排查点 #

• 确认浏览器不是在隐私浏览模式下测试，隐私模式对第三方Cookie的限制更严格
• 检查.nl域名是否被浏览器的“增强型跟踪保护”归类为跟踪器（不过谷歌能用类似方案，你的域名大概率没问题）

内容的提问来源于stack exchange，提问作者Marten Sytema