iframe跨域无法携带Cookie是因浏览器硬性安全策略：必须同时满足服务端CORS响应头、客户端credentials配置、Cookie的SameSite=None且Secure，缺一则失效。
iframe 跨域时无法携带 Cookie，不是配置漏了、也不是代码写错了，而是浏览器在 2026 年已将该行为固化为硬性安全策略——只要跨域，且未满足全部三重条件（服务端 CORS + 客户端 credentials + Cookie 自身 SameSite/Secure），Cookie 就不会出现在请求头里。
Access-Control-Allow-Credentials 和 Access-Control-Allow-Origin 冲突
服务端返回 Access-Control-Allow-Credentials: true 时，Access-Control-Allow-Origin 不能是 *，否则浏览器直接拒绝整个响应。这是常见 401 或静默失败的根源。
- 正确写法：
Access-Control-Allow-Origin: https://parent.example.com（必须与请求头Origin完全一致） - 错误写法：
Access-Control-Allow-Origin: *+Access-Control-Allow-Credentials: true→ 浏览器报错：“The value of the 'Access-Control-Allow-Origin' header must not be the wildcard '*' when the request's credentials mode is 'include'” - 开发环境调试时，若父页是
http://localhost:3000，后端必须显式允许该 Origin，不能只写localhost或省略协议
SameSite=None; Secure 是跨域 Cookie 的强制门槛
Chrome 80+、Firefox 79+、Safari 14+ 已全面执行：任何跨站 Cookie（包括 iframe 中发起的请求）若想被自动携带，必须同时满足 SameSite=None 和 Secure。缺一不可，且 Secure 意味着只能在 HTTPS 下生效。
-
Set-Cookie: sessionid=abc; Path=/; Domain=.example.com; SameSite=None→ 无效，缺少Secure -
Set-Cookie: sessionid=abc; Path=/; Domain=.example.com; SameSite=None; Secure→ 有效（仅 HTTPS） - 本地开发用
http://localhost？Chrome 允许 localhost 绕过Secure，但 Safari 不认，建议统一走 HTTPS +127.0.0.1或使用 mkcert 本地证书
sandbox 属性让 document.cookie 彻底失效
一旦给 <iframe> 加了 sandbox 属性（哪怕只写 sandbox="allow-scripts"），该 iframe 的 origin 就被浏览器强制设为 null，所有 Cookie 操作都会失败——document.cookie 读出来是空字符串，赋值不报错但无实际存储，DevTools 的 Cookies 面板也为空。
立即学习“前端免费学习笔记（深入）”；
-
<iframe src="https://third-party.com/widget" sandbox="allow-scripts allow-same-origin"></iframe>→allow-same-origin在跨域时被静默忽略，document.cookie仍不可用 - 不要试图用
localStorage或sessionStorage替代，它们同样被沙箱隔离 - 唯一可行的数据通道是
window.parent.postMessage()，且父页监听时必须校验event.origin，不能只信sandbox配置
iframe 内发起 fetch/XHR 时 credentials 配置容易被忽略
即使服务端和 Cookie 属性都配对了，iframe 内部的 JS 发起请求时，仍需显式声明携带凭证，否则浏览器默认不带 Cookie。
- fetch 写法：
fetch('/api/user', { credentials: 'include' })（不是'same-origin'，跨域必须用'include'） - XMLHttpRequest 写法：
xhr.withCredentials = true（必须在.open()之后、.send()之前设置） - 注意：Vue Axios、React Query 等封装库默认不开启 credentials，需手动配置
withCredentials: true或credentials: 'include'
真正难处理的不是配置项本身，而是这些条件必须全部对齐：服务端响应头、Cookie 属性、客户端请求选项、传输协议、iframe 的 sandbox 状态——漏掉任意一个，Cookie 就像被删掉了，而不是“没传过去”。调试时别急着改代码，先打开 DevTools 的 Network 面板，点开请求，看 Request Headers 里有没有 Cookie 字段；再检查 Response Headers 里的 Set-Cookie 是否含 SameSite=None; Secure；最后确认 iframe 的 src 协议是否真为 HTTPS。
