当通过 CORS 请求设置 Cookie 后，后续请求未携带该 Cookie，根本原因常是首次设置 Cookie 的请求未启用凭据模式（withCredentials: true），导致浏览器拒绝保存或发送 Cookie。
当通过 cors 请求设置 cookie 后，后续请求未携带该 cookie，根本原因常是首次设置 cookie 的请求未启用凭据模式（withcredentials: true），导致浏览器拒绝保存或发送 cookie。
在跨域场景下（如前端运行在 <a href="https://www.php.cn/link/ecc2a9cd57dcbefac8dbae00e1cb4a1d" rel="nofollow" target="_blank">https://www.php.cn/link/ecc2a9cd57dcbefac8dbae00e1cb4a1d</a>，调用后端接口 <a href="https://www.php.cn/link/b1eb67b672fbcfbefd2c809a81d68228" rel="nofollow" target="_blank">https://www.php.cn/link/b1eb67b672fbcfbefd2c809a81d68228</a>），即使服务端已正确配置 Access-Control-Allow-Credentials: true、SameSite=None、Secure 和 HttpOnly 等关键属性，若初始设置 Cookie 的请求（如 POST /verifyToken）未显式声明凭据支持，浏览器将完全忽略响应中的 Set-Cookie 头——这是 Chromium、Firefox 和 Safari 的统一安全策略。
✅ 正确做法：所有涉及 Cookie 设置或读取的跨域请求（包括首次写入和后续携带）都必须启用凭据模式。
以 Axios 为例，不仅刷新请求需设置 withCredentials: true，首次验证请求也必须如此：
// ✅ 正确：首次请求即启用凭据，确保 Set-Cookie 生效
await axios.post('https://www.php.cn/link/b1eb67b672fbcfbefd2c809a81d68228/verifyToken', data, {
withCredentials: true, // ← 关键！缺此行则 Cookie 永远不会被保存
headers: { 'Content-Type': 'application/json' }
});
// ✅ 后续请求同样需要
await axios.get('https://www.php.cn/link/b1eb67b672fbcfbefd2c809a81d68228/refresh', {
withCredentials: true // ← 保持一致
});⚠️ 注意事项：
-
Access-Control-Allow-Origin*不能为通配符 `**，必须精确匹配前端源（如https://www.php.cn/link/ecc2a9cd57dcbefac8dbae00e1cb4a1d`），否则withCredentials: true将被浏览器静默拒绝； -
SameSite=None必须与Secure同时存在（即仅限 HTTPS 协议），开发环境若使用 HTTP，需改用SameSite=Lax或SameSite=Strict（但不适用于跨站场景）； -
Domain属性非必需（浏览器默认以响应域名为准），但若显式设置，值必须为.mydomain.com（带前导点号表示子域共享），且不能包含dev.或second.等具体子域前缀； - 检查浏览器开发者工具 → Application → Cookies，确认 Cookie 是否真实写入；若未出现，说明首次请求未带凭据，而非后续请求未携带。
? 总结：CORS Cookie 的生命周期始于“设置”，而设置的前提是请求本身被信任。withCredentials: true 不仅是“发送 Cookie”的开关，更是“接收并存储 Cookie”的准入凭证。务必从第一个跨域请求开始就启用它。
