document.cookie始终为空字符串不是代码错误，而是浏览器强制隔离：只要iframe与父页不同源（协议、域名、端口不全一致），或启用sandbox属性，其origin即被设为null，cookie存储区域被硬性绑定至匿名临时空间，无法读写且不可持久化。
为什么iframe里document.cookie始终为空字符串
不是代码写错了，是浏览器主动清空了它——只要iframe的src与父页协议、域名、端口不完全一致，document.cookie读写就必然失效。Safari会拦截第三方Cookie，Chrome 80+默认把未声明SameSite的Cookie设为SameSite=Lax，Firefox也已跟进。即使你用document.cookie = "a=1"赋值，控制台不报错，但刷新后消失，DevTools里也看不到。
常见错误现象包括：登录态丢失、接口反复跳转登录页、fetch请求没带Cookie头、XMLHttpRequest.withCredentials = true也不起作用。
- 同源但子域不同（如
a.com嵌app.a.com）：需在服务端响应头加Set-Cookie: domain=.a.com，且JS中设置document.domain = "a.com" - 跨域（如
a.com嵌b.com）：document.cookie永远为空，localStorage和sessionStorage同样不可用 - 加了
sandbox属性：哪怕写了allow-same-origin，只要src不同源，该属性就被静默忽略，origin强制为null，cookie存储区域被硬隔离
Safari中iframe加载外部页面后Cookie仍无效
这不是兼容性问题，而是Safari的明确策略：它只允许“用户显式访问过”的域名在iframe中使用Cookie。单纯靠iframe.src = "https://b.com/app"加载，Safari认为这是被动引入，直接拦截所有Cookie读写。
必须制造一次用户可感知的跳转动作，让目标域名变“第一方”。跳过这步，后续所有方案都无效。
立即学习“前端免费学习笔记（深入）”；
- 前端引导页跳转：主站检测到Safari后，跳转至中间页（如
/safari-redirect?to=https%3A%2F%2Fb.com%2Fapp），用户点击按钮再跳回，Safari记录该域名 - 服务端302重定向：把iframe的
src指向一个中间路由（如/proxy?to=https://b.com/app），后端返回302 Location: https://b.com/app - iframe自刷新：在
b.com/app页面顶部插入脚本，首次加载时执行location.replace(location.href)，注意不能用setTimeout延迟
SameSite=None; Secure设置后依然不生效
设置了SameSite=None; Secure却还是没Cookie，大概率是漏了三个硬性条件中的某一个：
-
Secure要求整个链路必须是HTTPS——父页、iframesrc、所有重定向跳转URL，任一环节是HTTP都会被浏览器拒绝 -
SameSite=None必须和Secure成对出现，单独写SameSite=None会被忽略 - Chrome/Firefox要求服务端响应头
Set-Cookie中不能有空格或多余分号，例如Set-Cookie: token=abc; SameSite=None;Secure（Secure前缺空格）会失败
验证方式：打开DevTools → Network → 点击请求 → 查看Response Headers里的Set-Cookie是否完整包含SameSite=None; Secure，且没有拼写错误或格式问题。
沙箱iframe（sandbox属性）下无法绕过Cookie限制
加了sandbox="allow-scripts allow-same-origin"仍然读不到document.cookie，不是配置问题，是浏览器设计如此。沙箱iframe的origin被强制设为null，所有同源存储API（document.cookie、localStorage、sessionStorage）都被绑定到一个临时、无持久化、无法被父页访问的隔离空间。
调试时DevTools的Application面板显示为空或(inactive)，不代表bug，是正常状态。想验证真实值，只能在控制台直接执行document.cookie，但结果仍是空字符串。
- 别试图用
postMessage把cookie从父页传进沙箱iframe——父页本身也无法读取沙箱iframe的document.cookie - 敏感状态（如token、登录态）必须由父页托管，iframe仅通过
window.parent.postMessage()上报操作，父页校验event.origin后再发起真实请求 - 沙箱iframe内任何需要持久化数据的逻辑（如表单草稿、主题偏好），都得改用
postMessage交由父页处理
