跨域重定向会丢失凭证，因为浏览器按规范在跨源重定向时强制将 credentials 重置为 'omit'；响应头仅能读取 safelisted 字段，需用 redirect: 'manual' 手动处理或服务端代理解决。
Fetch 在跨域重定向时默认会丢弃凭证（如 Cookie），且重定向后的响应头受浏览器限制，无法通过 response.headers.get() 读取除 Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma 外的字段——这是浏览器安全策略（CORS + redirect behavior）共同导致的，不是 Fetch 本身的 bug。
为什么跨域重定向会丢失凭证？
Fetch 的 credentials 选项在重定向链中会被重置：当初始请求是跨域且设置了 credentials: 'include'，但重定向目标也是跨域时，浏览器为安全起见，在发起重定向请求时自动忽略 credentials 配置（相当于强制使用 'omit'）。这是 Fetch 规范明确要求的行为（参见 WHATWG Fetch — Redirects）。
简单说：只要重定向跳转到了不同源（协议+域名+端口任一不同），后续请求就不再携带 Cookie 或 Authorization 头。
如何避免跨域重定向导致的凭证丢失？
根本思路是：让重定向不发生，或让重定向留在同源内。常用方法有：
立即学习“Java免费学习笔记（深入）”；
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 服务端配合：用同源代理中转。前端请求自己的后端（同源），由后端转发到目标服务并处理重定向（服务端无 CORS 和 credentials 限制），再把最终响应返回前端。
-
禁用重定向，手动处理：设置
redirect: 'manual'，收到 3xx 响应后，检查response.headers.get('Location')（仅当该 header 是 CORS-safelisted 才可读；否则需服务端显式暴露：Access-Control-Expose-Headers: Location），再用新 URL 发起带凭证的二次请求。 - 服务端避免跨域重定向：例如认证接口返回 200 + 重定向 URL，由前端 JS 自行跳转或 fetch；或统一由网关层完成鉴权与跳转，前端只与网关通信。
为什么重定向后的响应头读不到？怎么解决？
浏览器对重定向后的响应执行“CORS 预检+响应头过滤”双重限制：即使服务端返回了 Access-Control-Expose-Headers，该配置只对最终响应生效，且仅在重定向终点是同源或已通过 CORS 验证时才起作用。而跨域重定向终点未经过预检，其响应头被严格限制为“safelisted headers”。
解决方式取决于你是否控制服务端：
- 若可控：让重定向终点返回
Access-Control-Allow-Origin: *（或具体源）和Access-Control-Expose-Headers: X-Custom-Header, Location，并确保它不触发新的跨域跳转。 - 若不可控（如调第三方登录）：接受限制，改用
redirect: 'manual'+ 服务端代理，或放弃读取非 safelisted header，转而依赖响应体内容（如 JSON 中携带 token 或跳转信息）。
一个可落地的 fetch 封装示例（手动处理重定向）
以下代码演示如何捕获 302 并用新地址重新带凭证请求（需服务端暴露 Location）：
async function fetchWithRedirectCredentials(input, init = {}) {
const response = await fetch(input, {
...init,
redirect: 'manual', // 禁用自动重定向
credentials: 'include'
});
if (response.status >= 300 && response.status < 400) {
const location = response.headers.get('Location');
if (location && !location.startsWith('http://') && !location.startsWith('https://')) {
// 相对路径 → 补全为绝对路径
const url = new URL(location, input);
return fetchWithRedirectCredentials(url, init);
}
if (location) {
// 跨域重定向：重新 fetch，仍带 credentials
return fetch(location, { ...init, credentials: 'include' });
}
}
return response;
}
注意：此方案依赖服务端在 3xx 响应中设置 Access-Control-Expose-Headers: Location，否则 headers.get('Location') 返回 null。
