Chrome 120默认强制SameSite策略导致跨域Cookie被拦截，确诊需检查Network中Set-Cookie响应头是否提示“默认为SameSite=Lax被阻止”；临时调试可用chrome://flags禁用或启动参数绕过，永久方案须服务端设SameSite=None+Secure并启用HTTPS，或通过chrome://settings/siteData为可信域名添加Cookie白名单。
当你在Chrome中打开嵌入优酷播放器、企业微信H5登录页或CRM系统iframe子应用时，页面弹出“您的浏览器限制了第三方Cookie”提示，或接口反复返回401、重定向至登录页，说明SameSite策略已拦截跨域Cookie写入——这不是网站故障，而是Chrome 120默认强制执行的底层安全机制。
确认是否为SameSite策略拦截
按F12打开开发者工具 → 切换到Network标签页 → 刷新页面 → 找到一个带身份校验的请求（如/api/user/profile）→ 点击该请求 → 查看Response Headers中的Set-Cookie字段。
若出现警告文字“此Set-Cookie 标头未指定 SameSite 属性，且默认为 SameSite=Lax。它被阻止，因为它来自跨站点响应”，即确诊为SameSite拦截。
同时检查Preview或Response内容：若返回的是登录页HTML或Whitelabel Error Page，说明Cookie根本没送达后端，服务端收不到session标识。
临时绕过（仅限调试或一次性高信任场景）
方法一：通过chrome://flags禁用SameSite默认行为
在地址栏输入chrome://flags → 回车 → 在搜索框输入samesite → 找到两项：
① SameSite by default cookies → 下拉菜单选Disabled；
② Cookies without SameSite must be secure → 同样设为Disabled。
【必须重启整个浏览器进程，不是仅关闭再打开新窗口】
方法二：快捷方式添加启动参数
右键桌面Chrome图标 → 属性 → “目标”栏末尾加空格后粘贴：
--disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure
例如完整路径为：
"C:\Program Files\Google\Chrome\Application\chrome.exe" --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure
保存后双击该快捷方式启动，新窗口即解除SameSite拦截。
永久白名单（仅对特定可信域名生效）
第一步：进入Cookie管理页
地址栏输入chrome://settings/siteData?search=cookie → 回车。
第二步：搜索目标根域
在“搜索网站”框中输入带前导点号的完整根域，例如.example.com（注意开头的英文句点）。
第三步：添加始终允许规则
回到主设置页 → 隐私和安全 → Cookie及其他网站数据 → 滚动到底部找到“站点可始终使用Cookie” → 点击“添加” → 输入完整协议+域名，例如https://app.example.com（不能只填example.com，也不能漏掉https）。
第四步：验证是否生效
重新加载对应网站 → 再次检查Network中Set-Cookie响应头 → 若不再出现SameSite警告，且登录态能跨iframe维持，说明白名单已生效。
服务端修复（生产环境唯一合规方案）
方法一：Spring Boot 2.6+（推荐）
在登录成功逻辑中替换原Cookie写法：
ResponseCookie cookie = ResponseCookie.from("SESSION", sessionId)
.httpOnly(true)
.secure(true)
.sameSite("None")
.maxAge(30 * 60)
.path("/").build();
response.addHeader("Set-Cookie", cookie.toString());
【该代码仅在HTTPS环境下生效；HTTP测试环境会直接丢弃Cookie，不可绕过】
方法二：Nginx反向代理补全SameSite属性
在对应location块内添加：
proxy_cookie_path / "/; Secure; HttpOnly; SameSite=None";
若Cookie实际Path为/api，则改为：
proxy_cookie_path /api "/api; Secure; HttpOnly; SameSite=None";
修改后执行nginx -s reload重载配置。
