Node.js fastify服务端无法向React客户端设置httpOnly Cookie问题求助

1. 排查Secure属性与后端协议不匹配问题 #

你当前Cookie配置了secure: true，该属性强制要求返回Set-Cookie的响应必须走HTTPS协议，后续携带Cookie的请求也必须为HTTPS。如果你的localhost:3001的Node.js后端目前是HTTP协议运行，浏览器会直接拒收该Cookie。你可以打开Chrome DevTools的「网络」面板，找到对应接口的响应头，Set-Cookie字段旁会有黄色警告标注具体拒收原因。

• 本地测试临时方案：将Cookie的secure属性改为process.env.NODE_ENV === 'production'，仅在生产环境开启，本地测试关闭。
• 标准测试方案：给本地3001端口的Node服务也配置HTTPS证书，和前端保持一致的HTTPS协议。

2. 修正Fastify Cookie读取逻辑 #

你注册fastify-cookie时配置了secret参数，此时setCookie会自动给Cookie值添加签名后缀，无法直接从request.cookies中读取到对应值，需要改用：

// 读取签名Cookie
const token = request.signedCookies.token

如果不需要Cookie签名，可以删除注册插件时的secret配置，即可直接从request.cookies读取。

3. 确认Set-Cookie所属接口的请求配置 #

你贴出的fetchUsers是后续业务接口请求，需要确保*返回Set-Cookie的接口（如登录接口）*发起请求时，也配置了credentials: 'include'，否则浏览器不会处理该响应的Set-Cookie头。

4. 可选调整SameSite属性 #

如果上述方案都未解决，可以临时将Cookie的sameSite改为'none'（注意sameSite: none必须搭配secure: true使用），确认可正常写入后再改回lax。

内容的提问来源于stack exchange，提问作者Shan Robertson