.NET Core MVC自定义Cookie在Firefox、Opera不生效但Chrome、Edge正常？

• 浏览器校验规则的差异：Chrome、Edge对本地开发环境下的自定义Cookie校验逻辑更宽松，而新版Firefox、Chromium内核的Opera会对未显式声明Domain、Path属性的HttpOnly Cookie做严格合法性校验——只要Cookie作用域和当前请求的Host不严格匹配（比如用IP地址访问站点、Host带非标准端口未被浏览器识别为可信本地源），浏览器会直接丢弃响应返回的Set-Cookie字段，全程不会抛出任何控制台报错。框架自带的AspNetCore.Identity.Application Cookie之所以能正常写入，是因为它走的是.NET Core内置的Cookie配置管线，项目模板已经自动补全了Domain、Path、Secure的适配规则，不依赖组件默认值，自然不会触发这类拦截。
• 未显式设置Secure属性的策略偏差：之前的测试只调整了SameSite的取值，没有显式声明Secure属性。Firefox从90版本开始，会对非HTTPS站点下、未明确标注Secure状态的Cookie，默认按跨站跟踪规则拦截；而Chrome、Edge在本地http开发环境下，会对这类未声明Secure的Cookie走白名单放行逻辑，不会拦截。
• 浏览器隐私规则的隐性拦截：Firefox、Opera默认开启的防跟踪、隐私保护功能，会把没有明确作用域的短时长自定义Cookie识别为跟踪类数据直接拦截，这类拦截记录不会在普通开发者控制台展示，必须进入浏览器的隐私设置面板才能看到拦截日志；而Chrome、Edge的默认基础隐私保护模式，不会拦截本地源下的短生命周期业务Cookie。

• 补全自定义Cookie的全量属性，不要依赖系统默认值，参考修改后的代码：

CookieOptions options = new CookieOptions
{
    // 显式匹配当前请求的Host作为Cookie作用域，开发环境下不要留空Domain值
    Domain = Request.Host.Host,
    // 显式指定Cookie的有效路径为站点根目录
    Path = "/",
    // 开发环境下显式声明Secure为false，匹配http协议请求；生产环境自动开启HTTPS下的Secure要求
    Secure = !Environment.IsDevelopment(),
    HttpOnly = true,
    SameSite = SameSiteMode.Lax,
    // 用DateTimeOffset替换原有的DateTime.Now，避免时区偏差导致的过期时间计算错误
    Expires = DateTimeOffset.Now.AddDays(2)
};
Response.Cookies.Append("testcookie", "true", options);

• 临时验证拦截规则影响：
  打开Firefox的隐私设置面板，找到Cookie管理模块，把本地测试的站点地址加入允许存储Cookie的例外列表；打开Opera的隐私设置，临时关闭全局的第三方Cookie拦截开关，重新测试Cookie是否能正常写入。
• 直连验证响应头是否正常返回：
  在浏览器开发者工具的“网络”面板中，找到对应控制器的响应请求，直接查看响应头中的Set-Cookie字段是否完整返回——很多浏览器丢弃不合法Cookie的操作不会在控制台输出报错，直接核对响应头能快速区分是后端没返回Cookie，还是浏览器主动拦截丢弃了Cookie。

内容的提问来源于stack exchange，提问作者Ralf