Chrome 115+ 中 Partitioned Cookie 不生效的主因是未同时满足 SameSite=Lax/Strict、Secure=true 且禁用 SameSite=None；仅 Chromium 115+ 支持，Firefox/Safari 不支持；必须 HTTPS（除 localhost），第三方上下文需 Storage Access API 授权，后端 Set-Cookie 需避免中间件过滤 Partitioned 属性。
Chrome 115+ 中 Partitioned Cookie 不生效的常见原因
直接设 Partitioned 但浏览器不存、不发，大概率不是代码写错，而是没满足强制前提：必须同时启用 SameSite=Lax 或 SameSite=Strict，且不能是 SameSite=None；另外，Secure=true 也必须显式声明（即使本地 localhost 也需 HTTPS 上下文）。
典型错误写法：Set-Cookie: sid=abc; Partitioned; SameSite=None; Secure → 浏览器直接忽略整条 Cookie。
-
Partitioned只在 Chromium 115+（含 Edge 115+）支持，Firefox 和 Safari 当前不支持，别在跨浏览器场景默认启用 - 开发调试时，
localhost被 Chrome 视为“可信任的 localhost”，允许Secure在非 HTTPS 下工作，但一旦部署到真实域名（如example.com），必须走 HTTPS，否则Secure+Partitioned全部失效 - 第三方上下文（如 iframe）中设置
PartitionedCookie 时，父页面必须启用document.domain或同源策略允许的跨域通信机制，否则 JS 设置会静默失败
用 JavaScript 正确设置 CHIPS 分区 Cookie
HTML 中无法通过 <meta> 或标签属性设置 Partitioned，只能靠 document.cookie（受限）或后端 Set-Cookie 响应头。JS 设置时要注意：浏览器会校验当前执行上下文是否属于“第三方嵌入”，若不是（比如主站直接打开），Partitioned 会被自动丢弃。
安全且可控的做法是后端下发：
立即学习“前端免费学习笔记（深入）”；
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
Set-Cookie: _session=xyz; Path=/; HttpOnly; Secure; SameSite=Lax; Partitioned
如果必须前端设置（例如 SPA 中动态生成 token），需确认当前页面处于第三方 iframe 内，并使用如下格式（注意分号空格）：
document.cookie = "_session=xyz; Path=/; Secure; SameSite=Lax; Partitioned"
- 不能漏掉
Path，否则默认为当前路径，导致跨路径不可见 -
HttpOnlyCookie 无法被 JS 读取，所以前端设置仅适用于非敏感临时标识（如 UI 偏好），敏感会话仍应由后端签发 - Chrome 控制台 Application → Cookies 标签下，分区 Cookie 会显示 “
Partition Key” 字段，值形如https://example.com^https://embed.com，这是验证是否生效的最直接依据
第三方 Cookie 隔离失效的调试线索
看到第三方请求里没带上本该分区的 Cookie，先别怀疑代码，检查三点：当前请求是否真的发生在第三方上下文（即页面 URL ≠ Cookie 所属源）、是否触发了 Storage Access API 的权限弹窗但被用户拒绝、以及是否启用了 Chrome 的 “Block third-party cookies” 实验性开关（chrome://flags/#block-third-party-cookies）。
- 调用
document.hasStorageAccess()返回false，说明尚未获得存储权限；此时必须先调用document.requestStorageAccess()并等待用户手势（如 click）确认 - 即使设置了
Partitioned，若未调用requestStorageAccess()，Chrome 仍按传统第三方 Cookie 规则处理：不发送、不持久化 - 使用
fetch()发起跨域请求时，记得加credentials: 'include'，否则 Cookie 根本不会附带发送
服务端 Set-Cookie 响应头的兼容性陷阱
旧版 Node.js（express@4.x）或某些反向代理（如 Nginx 默认配置）会自动过滤掉未知 Cookie 属性，把 Partitioned 当作非法字段直接截断整条 Set-Cookie 头。这不是浏览器问题，是中间件/网关干的。
- Express 用户升级到
express@5.0+或手动用res.append('Set-Cookie', ...)绕过内置res.cookie()的属性白名单校验 - Nginx 需确保没有启用
underscores_in_headers off（虽然Partitioned不含下划线，但某些精简版规则会误判），更稳妥的是在proxy_pass后加proxy_cookie_flags ~ samesite=lax secure partitioned;（Nginx 1.23+） - Cloudflare Workers 等边缘环境对
Partitioned支持滞后，截至 2024 年中仍需手动拼接响应头，不能依赖框架封装方法
CHIPS 的关键不在“怎么写”，而在“谁在什么上下文中写、由谁来校验、被谁拦截”。漏掉任意一环，Cookie 就只是普通字符串。
