FastAPI + SQLAdmin自定义认证流程中POST登录重定向后Cookie无法被浏览器存储的问题排查

先看你提供的HTTPie日志，我发现了核心问题：你的/admin/login接口返回的302响应里完全没有Set-Cookie头！而你测试的/postcookie接口的重定向响应里是有这个头的，浏览器自然能存储Cookie。这说明问题根本不在浏览器政策上，而是你的代码逻辑没走到设置Cookie的那一步。

针对你的问题逐一解答： #

1. 为什么Cookie没有被存储？

因为浏览器根本没收到Set-Cookie指令！从HTTPie的输出可以看到，POST /admin/login返回的302响应里没有任何Set-Cookie字段，浏览器当然不会存储不存在的Cookie。这意味着你的login方法中，设置Cookie并返回RedirectResponse的代码块没有被执行——大概率是登录验证过程中抛出了异常，走到了except分支，最终返回了False，而不是带Cookie的响应。

2. 是浏览器安全政策还是代码问题？

这完全是代码逻辑问题，和浏览器政策无关。你自己的/postcookie接口同样是POST请求重定向，浏览器能正常存储Cookie，说明浏览器支持这种场景。问题出在你的AdminAuthService.login方法的执行流程上。

3. 设置认证Cookie的最佳实践？

先解决当前问题，再讲通用最佳实践：

• 先确保Cookie能被正确发送：这是基础，只有响应里有Set-Cookie头，浏览器才会存储。
• 避免捕获所有异常：不要用except Exception as e这种宽泛的捕获，尽量捕获特定的异常类型（比如数据库异常、凭证验证异常），否则会掩盖未知错误，导致你不知道代码为什么没走到设置Cookie的步骤。
• 明确Cookie的属性：本地开发时secure=False没问题，但生产环境一定要设为True；SameSite="lax"是合理的，既能防CSRF又不影响正常跳转；httponly=True必须保留，防止XSS窃取Cookie。
• 开发时用浏览器工具调试：打开Chrome/Safari的开发者工具，切换到Application（Chrome）或Storage（Safari）标签，实时查看Cookie是否被设置，以及后续请求是否携带Cookie。
• SQLAdmin认证的返回规范：POST登录成功后返回303状态码是正确的（告诉浏览器用GET请求重定向目标），但如果你的代码返回False，SQLAdmin会自己返回302重定向，这就是为什么你看到的是302而不是代码里写的303。

具体排查和修复步骤： #

1. 检查日志输出：你的代码里有logger.error(f"Login error: {e!s}")，看看应用日志里有没有这条错误信息。如果有，说明AdminService.login抛出了异常，比如用户名密码验证失败、数据库连接问题等。
2. 调试AdminService.login方法：确认它在凭证正确时是否能正常返回带access_token的data对象，失败时是否抛出了明确的异常（建议自定义异常类，比如CredentialsInvalid）。
3. 确认设置Cookie的代码是否执行：在response.set_cookie之后加一条日志，比如logger.info(f"Successfully set admin_token cookie for user: {form_admin_req.username}")，看看这条日志有没有输出。如果没有，说明代码没走到这里。
4. 优化异常处理逻辑：不要直接返回False，而是根据异常类型返回对应的响应。比如凭证错误时，重定向回登录页并携带错误提示（可以用查询参数，比如?error=invalid_credentials）。

举个优化后的异常处理例子：

from app.exceptions import CredentialsInvalid, DatabaseError

# ... 其他代码 ...
try:
    async with async_db_cntxman() as db:
        form_admin_req = AdminLoginRequest.model_validate(form_data)
        data = await AdminService.login(db, form_admin_req)
        # 设置Cookie的代码...
        logger.info(f"Login successful for user: {form_admin_req.username}")
        return response
except CredentialsInvalid as e:
    logger.warning(f"Invalid credentials for user: {form_admin_req.username}")
    # 重定向回登录页并携带错误提示
    return RedirectResponse(
        url=f"{request.url_for('admin:login')}?error=invalid",
        status_code=status.HTTP_303_SEE_OTHER
    )
except DatabaseError as e:
    logger.error(f"Database error during login: {e!s}")
    return RedirectResponse(
        url=f"{request.url_for('admin:login')}?error=server",
        status_code=status.HTTP_303_SEE_OTHER
    )

总结 #

当前的核心问题是你的登录验证逻辑抛出了异常，导致设置Cookie的代码没有执行，响应里没有Set-Cookie头，所以浏览器无法存储Cookie。先排查日志和验证流程，确保登录成功时能正确返回带Cookie的重定向响应，问题就能解决。

备注：内容来源于stack exchange，提问作者federikowsky