AJAX请求返回的Set-Cookie响应头无法在Firefox中设置Cookie

我看你已经确认了应用和API域名完全一致，浏览器也能识别到Cookie，那咱们就从旧版Firefox的特性和你可能忽略的细节入手排查：

1. 补上缺失的Path参数 #

你当前的Set-Cookie语法没指定Path，默认会继承API请求的路径（也就是/service/）。但你的应用页面在/app路径下，这就导致应用所在路径无法访问到这个Cookie。

解决方法：给Set-Cookie加上Path=/，让Cookie对整个域名下的所有路径生效：

key=value; expires=date; domain=.domain.com; Path=/

2. 别加不必要的Secure属性 #

你的应用和API都是HTTP协议，要是Set-Cookie里加了Secure参数，旧版Firefox会直接忽略这个Cookie——Secure要求Cookie只能通过HTTPS传输。你当前的语法没加，但如果之前尝试的组合里有，一定要去掉。

3. AJAX请求要开启withCredentials #

虽然是同域请求，但你提到有自定义标识头，可能触发浏览器的特殊处理。确保你的XMLHttpRequest设置了withCredentials=true：

var xhr = new XMLHttpRequest();
xhr.withCredentials = true;
xhr.open('POST', 'http://sub.domain.com/service/method', true);
// 其他请求配置...
xhr.send();

这个属性会让浏览器在请求中携带Cookie，同时也能正确保存服务器返回的Cookie。

4. 适配旧版Firefox的SameSite规则 #

旧版Firefox（比如v69之前）对SameSite属性的处理比较严格，默认可能限制Cookie的跨上下文使用。你可以显式设置SameSite=Lax（因为用的是HTTP，不能用SameSite=None，它需要配合Secure）：

key=value; expires=date; domain=.domain.com; Path=/; SameSite=Lax

5. 检查浏览器隐私设置 #

打开旧版Firefox的设置，确认没开启"阻止所有Cookie"或者"仅允许来自访问过的网站的Cookie"——旧版隐私规则有时候会误判同域Cookie。另外，看看有没有广告拦截类插件在阻止Cookie设置。

6. 试试精确匹配domain #

你设置的domain=.domain.com理论上能匹配sub.domain.com，但旧版Firefox可能更偏好精确匹配。可以尝试把domain设为sub.domain.com：

key=value; expires=date; domain=sub.domain.com; Path=/

按上面的步骤逐一排查，应该能解决Cookie无法设置的问题。

内容的提问来源于stack exchange，提问作者fingeron