Chrome输错Windows身份验证密码后弹窗不再弹出，如何用JS删空Cookie？

这问题我之前帮同事排查过类似的，Chrome对NTLM身份验证的Cookie缓存机制确实有点特殊，我给你两种方向的解决方案：

一、用JS删除空键Cookie的方法 #

空键的Cookie本质是键名为空字符串的Cookie，要删除它必须匹配它的路径和域名（和浏览器里看到的一致），否则删不掉。你可以先在Chrome开发者工具的Application -> Cookies面板里查看这个空Cookie的Domain和Path，然后用下面的代码：

// 替换成你实际的域名和路径，比如如果Cookie的path是/api，就改成path=/api
const domain = window.location.hostname;
const path = "/";

// 设置过期时间为过去的时间，强制删除空键Cookie
document.cookie = `=; expires=Thu, 01 Jan 1970 00:00:00 UTC; path=${path}; domain=${domain}; secure; SameSite=None;`;

注意：如果是跨域场景，domain要改成WebAPI所在的域名，path要对应API的根路径，同时确保前端和API的CORS配置允许操作Cookie。

二、更根本的解决思路（推荐） #

手动删Cookie只是临时救急，咱们从根源上避免这个问题：

• 调整Chrome的身份验证白名单
  Chrome默认会缓存NTLM凭据，输错后可能异常缓存了无效状态。你可以给Chrome添加启动参数，限制仅信任你的业务域：

  --auth-server-whitelist="*.yourcompany.com"
  --auth-negotiate-delegate-whitelist="*.yourcompany.com"
  

  这样Chrome只会缓存指定域的有效凭据，不会因为一次错误输入就锁死验证流程。

• 检查WebAPI的身份验证和CORS配置

  1. 确保IIS中只启用Windows身份验证，禁用匿名身份验证；
  2. 如果是跨域Ajax请求，WebAPI的CORS配置必须设置supportsCredentials="true"，同时前端Ajax请求要带上withCredentials=true（比如jQuery里设置xhrFields: {withCredentials: true}），否则Cookie传输异常会生成空Cookie；
  3. 确保输错密码时，WebAPI正确返回401 Unauthorized状态码和WWW-Authenticate: NTLM响应头，这样Chrome才会知道需要重新触发登录框，而不是认为验证状态已确定。

• 清理Chrome的身份验证缓存
  如果已经出现异常状态，除了手动清浏览数据，还可以通过chrome://settings/privacy里的“清除浏览数据”，选择“缓存的图像和文件”以及“Cookie和其他网站数据”快速恢复，或者在chrome://settings/passwords里删除对应的域凭据。

内容的提问来源于stack exchange，提问作者JoeyWang