JavaScript Fetch请求手动设置Cookie会话ID不生效问题咨询

直接回应你的两个疑问：

• 为fetch请求手动指定会话Cookie ID的操作本身是可行的，但你当前的实现完全违反HTTP规范和浏览器安全限制，从根源上就不生效。
• 你看到服务端每次返回随机PHPSESSID，本质是你手动设置的Cookie值根本没随请求发出去，服务端识别不到已有会话，才会每次生成新的会话标识。

1. 头部字段的角色完全错位 #

• Set-Cookie是仅能由服务端使用的响应头字段，作用是服务端通知浏览器将指定键值对写入本地Cookie存储，从来不是客户端发起请求时用来携带Cookie的字段。
• 浏览器会直接拦截所有客户端代码试图在请求中添加Set-Cookie字段的操作：你写在fetch配置里的"set-cookie": "PHPSESSID=123123; path=/"，会在请求发出前被浏览器静默过滤，根本不会传递到服务端。

2. 受保护头部的安全限制 #

客户端发请求时携带Cookie的正确请求头字段是Cookie，但这个字段属于浏览器定义的「禁止前端手动修改的受保护头部列表」：

• 就算你把headers里的set-cookie换成Cookie，在普通网页环境下，浏览器依然会把你手动设置的Cookie值静默移除，不允许通过JS直接自定义请求携带的Cookie内容。
• 你配置的credentials: "include"，作用只是告知浏览器「允许把本地存储的、和目标请求匹配规则的Cookie，随跨域请求一同发送」，不是开放手动设置Cookie的权限。

根据运行环境的不同，正确的操作路径分为两类：

• 普通浏览器网页环境：
  • 提前通过document.cookie将你指定的PHPSESSID写入本地Cookie，写入时需要匹配目标接口的域名、路径规则。如果目标服务端下发的PHPSESSID带有HttpOnly标记，前端JS没有权限读写这个Cookie，这种场景下纯前端无法手动指定会话ID。
  • 保持fetch配置中credentials: "include"的设置，浏览器会自动把符合匹配规则的本地Cookie拼接到请求头中发送，不需要手动在headers里添加任何Cookie相关字段。
• 非浏览器环境（如Node.js服务端、安装了权限解除扩展的浏览器环境）：
  可以直接在请求headers中手动添加Cookie: "PHPSESSID=123123; path=/"，这个值会随请求正常发送，不会被安全策略拦截。

内容的提问来源于stack exchange，提问作者Lheonair