如何将account.domain.com设置的cookie发送至app.domain.com等所有子域

问题根因与解决步骤 #

1. 补充设置Cookie接口的请求配置 #

你调用account.domain.com设置Cookie的跨域请求，必须显式开启withCredentials: true，否则浏览器会忽略响应头返回的Set-Cookie指令，不会写入Cookie：

// 调用account域名下设置身份Cookie的接口必须加该配置
await axios("https://account.domain.com/your-auth-endpoint", {withCredentials: true});

2. 校验服务端CORS配置 #

account.domain.com的响应头必须满足两个要求：

• Access-Control-Allow-Credentials必须为true
• Access-Control-Allow-Origin不能设置为通配符*，需要匹配请求来源的具体域名，例如动态匹配所有*.domain.com的合法子域
  如果不符合以上要求，浏览器会直接拦截跨域响应的Cookie写入逻辑。

3. 校验SameSite配置兼容性 #

你当前设置的SameSiteMode.None是跨子域携带Cookie的必要配置，但需要确认你使用的.NET Framework版本≥4.7.2，低版本.NET框架不支持SameSite=None枚举值，会默认改写为Lax模式，导致跨子域Cookie被浏览器拦截。

4. 校验HTTPS规则一致性 #

你配置了Secure=true，因此所有相关站点和接口必须全部走HTTPS协议：

• 前端页面本身必须是HTTPS访问，不能是HTTP
• 所有调用的接口也必须是HTTPS协议
  本地开发阶段如果用HTTP调试，可以临时把Secure设为false，上线前改回即可。

最终效果 #

以上配置全部正确的前提下，你后续所有发往*.domain.com下任意子域的请求，只要携带withCredentials: true，浏览器都会自动带上你设置的根域Cookie，完成身份认证。

内容的提问来源于stack exchange，提问作者saud