在 FastAPI 中使用 RedirectResponse 时，若直接向传入的 Response 对象设 Cookie，重定向将丢失该 Cookie；必须在新创建的 RedirectResponse 实例上调用 set_cookie() 才能确保 Cookie 随 302 响应一同发送。
在 fastapi 中使用 `redirectresponse` 时，若直接向传入的 `response` 对象设 cookie，重定向将丢失该 cookie；必须在新创建的 `redirectresponse` 实例上调用 `set_cookie()` 才能确保 cookie 随 302 响应一同发送。
在 FastAPI 开发中，实现登录后跳转并持久化认证凭证（如 JWT）是一个常见需求。但许多开发者会遇到这样一个典型问题：调用 RedirectResponse 后，前端未收到预期的 Cookie，导致后续受保护路由（如 /）因缺少有效认证而返回 403 Forbidden 或触发 HTTPException(401)。根本原因在于 RedirectResponse 是一个独立的响应对象，它不会自动继承或合并你对函数参数 response: Response 所做的修改。
错误写法（Cookie 丢失）：
@router.post("/login")
async def login(response: Response, credentials: UserLoginSchema = Form()):
if credentials.email == ADMIN_EMAIL and credentials.password == "123":
token = auth.create_access_token(uid=credentials.email)
# ❌ 错误：向参数 response 设 cookie，但最终返回的是 RedirectResponse，其 headers 为空
response.set_cookie(
config.JWT_ACCESS_COOKIE_NAME,
token,
path="/",
samesite="lax",
secure=True,
httponly=True
)
return RedirectResponse(url="/", status_code=status.HTTP_302_FOUND) # → Cookie 不会发送！✅ 正确做法是：显式创建 RedirectResponse 实例，并在其上调用 set_cookie()。这样可确保 Cookie 被写入该响应的 Set-Cookie 头中，随 HTTP 302 状态一并返回给浏览器：
@router.post("/login")
async def login(credentials: UserLoginSchema = Form()):
if credentials.email == ADMIN_EMAIL and credentials.password == "123":
token = auth.create_access_token(uid=credentials.email)
redirect_response = RedirectResponse(
url="/",
status_code=status.HTTP_302_FOUND
)
# ✅ 正确：直接在 RedirectResponse 实例上设置 Cookie
redirect_response.set_cookie(
key=config.JWT_ACCESS_COOKIE_NAME,
value=token,
path="/",
samesite="lax",
secure=True, # 生产环境务必启用（需 HTTPS）
httponly=True, # 防 XSS，禁止 JS 访问
max_age=3600 # 可选：设置有效期（秒）
)
return redirect_response
raise HTTPException(status_code=401, detail={"message": "Invalid credentials"})⚠️ 注意事项：
- 不要将
response: Response作为函数参数依赖——RedirectResponse本身已继承Response行为，无需额外注入； -
secure=True仅在 HTTPS 环境下生效，开发时若使用http://localhost，请临时设为False，或配置本地 HTTPS； -
samesite="lax"是推荐值，兼顾安全性与跨站表单提交兼容性；如需支持 iframe 内嵌，可酌情改为"none"（此时secure=True必须启用）； - 若前端为 SPA（如 Vue/React），建议优先考虑返回 JSON Token + 前端手动跳转（更可控），而非服务端重定向；但对传统服务端渲染（Jinja2/Templates）场景，此方案简洁可靠。
总结：FastAPI 的 RedirectResponse 是一个“干净”的响应构造器，所有头部（包括 Set-Cookie）都需显式设置在其自身实例上。理解这一设计逻辑，即可避免绝大多数登录跳转后认证失效的问题。
