Firefox跨域请求未留存Cookie问题咨询（Chrome运行正常）

我之前也碰到过几乎一模一样的Firefox跨域Cookie问题，折腾了好一阵才找到几个核心排查方向，你可以逐个验证：

• 检查Cookie的SameSite和Secure属性
  这是最常见的原因！跨域场景下（Website1调用Website2），要让Firefox正常存储Cookie，必须满足两个条件：

  • Cookie必须设置SameSite=None，明确允许跨域使用
  • 同时必须搭配Secure属性（因为SameSite=None要求Cookie只能通过HTTPS传输）
    正确的Set-Cookie响应头示例：

  Set-Cookie: your_cookie_name=value; Path=/; Domain=website2.com; SameSite=None; Secure
  

  哪怕Chrome在某些旧版本或宽松设置下能兼容缺少这些属性的情况，Firefox对跨域Cookie的规则校验更严格，会直接忽略不符合要求的Cookie，而且往往不会在控制台报错。

• 确认withCredentials/crossOrigin配置正确

  • 如果用的是XMLHttpRequest，必须显式设置xhr.withCredentials = true，否则浏览器不会发送现有Cookie，也不会存储新返回的Cookie
  • 如果用的是img标签，需要添加crossOrigin="use-credentials"属性，同时服务器要返回Access-Control-Allow-Credentials: true，否则跨域img请求不会携带或存储Cookie

• 检查Firefox的增强跟踪保护设置
  Firefox的默认增强跟踪保护可能会阻止跨域Cookie，哪怕你的CORS和Cookie配置都正确。可以临时关闭验证：

  1. 打开Firefox设置 → 隐私与安全
  2. 找到“增强跟踪保护”，暂时切换为“标准”或者直接关闭
     如果关闭后Cookie能正常存储，说明是跟踪保护拦截了，你可以在Website2的站点设置里添加例外，或者调整跟踪保护的自定义规则。

• 验证Cookie的Domain属性是否正确
  确保Set-Cookie里的Domain值严格匹配Website2的域名，比如如果Website2是https://website2.com，Domain应该设为website2.com（不要带前缀的https://，也不要乱设成Website1的域名）。如果Domain设置错误，Firefox会拒绝存储该Cookie。

• 检查SSL证书的有效性
  Firefox对SSL证书的校验比Chrome更严格，如果Website2的证书存在问题（比如自签名、链不完整、域名不匹配），哪怕浏览器没有明显报错，也可能影响Cookie的存储。你可以点击地址栏的锁图标，查看证书详情，确认是否被标记为安全。

内容的提问来源于stack exchange，提问作者user3105222