Safari中iframe嵌入外部页面时Cookie失效，根本原因是ITP机制将未被用户主动访问的域名视为第三方并拦截Cookie；必须通过用户显式访问（点击跳转或服务端302）建立信任后，Cookie才可正常读写。
直接说结论：Safari 中 iframe 嵌入外部页面时 Cookie 失效，不是代码写错了，而是浏览器主动拦截——必须让目标域名变成“用户主动访问过的第一方”，否则 document.cookie 读写必然为空，fetch 也不带凭证，任何 JS 层面的修补都无效。
为什么 Safari 里 iframe 的 Cookie 总是读不到？
根本原因不是跨域本身，而是 Safari 的 ITP（Intelligent Tracking Prevention）机制把未被用户显式访问过的域名一律视为“第三方”，禁止其设置或发送 Cookie。即使服务端已正确设置了 SameSite=None; Secure，只要用户没点过、跳过、输过那个域名，iframe 加载时浏览器就直接丢弃所有 Cookie 相关逻辑。
常见错误现象包括：
- 登录态秒退，
document.cookie在 iframe 内始终返回空字符串 -
fetch('/api/user', { credentials: 'include' })发出的请求 Header 里没有Cookie字段 - DevTools 的 Application → Cookies 面板中目标域名下完全空白，且无报错
注意：allow-same-origin 对沙箱 iframe 无效，P3P 在 iOS 14+ 和 macOS Monterey 起已彻底废弃，别白费力气配。
立即学习“前端免费学习笔记（深入）”；
必须走一次用户可感知的跳转才能生效
这是 Safari 强制要求的“信任建立流程”，跳过等于放弃兼容。核心动作是：让用户在当前 tab 主动访问一次目标域名（哪怕只停留 0.1 秒），之后再用 iframe 加载它，Cookie 才能正常读写。
实操建议：
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
- 前端检测：用
navigator.userAgent或!window.safari判断是否为 Safari/Opera，避免对 Chrome/Firefox 多余跳转 - 跳转路径要干净：跳转页 URL 必须是目标域名的根路径或明确可访问的 HTML 页面（如
https://partner.com/setup.html），不能是重定向链或 API 接口 - 跳转后必须有用户动作：仅
window.location.href = url不够，Safari 要求用户点击按钮、链接或回车确认——所以引导页上必须放一个显眼的“继续”按钮 - 跳转参数要防篡改：携带原页面 URL 时用
encodeURIComponent()编码，并在目标页校验来源域名，防止 open redirect 漏洞
服务端 302 重定向是最平滑的方案
如果无法修改主站前端逻辑，或者想隐藏跳转过程，可用服务端中间路由做一次静默 302，让 Safari 记住该域名。这个动作必须发生在 iframe src 加载前，且不能由 JS 触发（否则不被认可）。
示例流程：
- iframe 的
src不直接写https://partner.com/app，而是写/safari-setup?to=https%3A%2F%2Fpartner.com%2Fapp - Nginx 或后端路由匹配
/safari-setup，读取to参数并做 302 跳转：return 302 $arg_to; - Safari 收到 302 后会记录
partner.com为“用户访问过”，后续同域名 iframe 即可正常使用 Cookie
注意：此跳转必须是服务端发起的 HTTP 302，不能是前端 location.replace()；也不能加 setTimeout 延迟，Safari 只认“立即发生的导航”。
沙箱 iframe 下 Cookie 完全不可用，别试了
如果 iframe 加了 sandbox 属性（哪怕只写了 sandbox="allow-scripts"），document.cookie 就注定失效——这不是配置问题，是浏览器将 origin 强制设为 null，Cookie 被写进一个匿名、临时、不可持久的隔离空间。
此时唯一可行的数据传递方式只有：
- 父页用
window.postMessage()向 iframe 透传 token 或状态 - iframe 用
window.parent.postMessage()上报操作，不存任何敏感字段 - 所有认证请求由父页代理，iframe 只负责 UI 渲染和事件触发
真正容易被忽略的是：沙箱对 Cookie 的隔离发生在网络栈底层，DevTools 看不到、JS 捕获不到、控制台也不报错——它就是“不存在”，不是“读不到”。遇到这种情况，重构数据流比调试 cookie 更省时间。
