根本原因是Layui的upload和table组件内部XHR请求默认不启用凭证模式，且upload不继承$.ajaxSetup配置，table不暴露xhrFields参数，需分别显式配置withCredentials:true并确保后端CORS响应头精确匹配。
layui 的 upload 和 table 跨域请求不带 Cookie，根本原因在哪
不是 layui 故意屏蔽，而是它内部封装的 XHR 请求默认不启用凭证模式。upload.render 和 table.render 都基于 jQuery 的 $.ajax，但它们**不继承 $.ajaxSetup 的配置**——哪怕你全局设了 xhrFields: { withCredentials: true }，上传和表格组件照样不发 Cookie。
常见错误现象：后端收不到 Cookie 头，HttpContext.Request.Cookies 为空，登录态丢失；浏览器 Network 面板里 Request Headers 确实没有 Cookie 字段。
-
upload.render必须在配置对象里显式写xhrFields: { withCredentials: true }，其他位置（如headers、beforeSend）无效 -
table.render不暴露xhrFields参数，只能靠提前设置$.ajaxSetup——但要注意：这个设置只对 table 内部触发的 ajax 生效，不影响 upload - 如果同时用 upload 和 table，得双管齐下：upload 单独配，table 依赖全局
$.ajaxSetup
upload.render 怎么正确配置 withCredentials
必须把 withCredentials: true 放进 xhrFields 对象里，且不能漏掉外层括号。漏一个花括号或写成 withCredentials: "true"（字符串）都会失效。
upload.render({
elem: '#upload',
url: 'https://api.example.com/upload',
xhrFields: { withCredentials: true }, // ✅ 正确：对象包裹布尔值
done: function(res) {
console.log(res);
}
});
- 不能写成
xhrFields: withCredentials: true（语法错误） - 不能写成
headers: { 'Cookie': document.cookie }（手动拼 Cookie 不安全，且不触发浏览器自动管理逻辑） - 不能只写
withCredentials: true（会被忽略，必须嵌套在xhrFields下）
后端 CORS 响应头必须匹配前端配置
前端设了 withCredentials: true，后端响应头却返回 Access-Control-Allow-Origin: *，浏览器会直接拦截请求，并报错：
Response to preflight request doesn't pass access control check: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'
- 后端必须返回精确域名，例如
Access-Control-Allow-Origin: https://fe.example.com - 必须同时返回
Access-Control-Allow-Credentials: true - .NET Core 示例：
services.AddCors(o => o.AddPolicy("AllowWithCreds", b => b.AllowCredentials().WithOrigins("https://fe.example.com"))) - Java Spring 示例：
response.setHeader("Access-Control-Allow-Credentials", "true")+response.setHeader("Access-Control-Allow-Origin", "https://fe.example.com")
Cookie 本身得能被浏览器“认出来”才有效
前端传了、后端也回了，但依然没 Cookie？大概率是服务端 Set-Cookie 时没写对 Domain 和 Path。
- 前端页面在
https://fe.example.com，后端接口在https://api.example.com，则 Cookie 的Domain必须设为.example.com（开头带点），否则浏览器认为它不属于当前页面域 -
Path=/建议显式加上，避免路径限制导致 Cookie 不被携带 - 开发时若用
localhost:8080和localhost:3000，两个 localhost 端口在浏览器眼里不算同源，此时Domain应留空或不设，部分浏览器对localhost的 Domain 解析有特殊逻辑 - 检查浏览器 Application → Cookies，确认该 Cookie 的 Domain 列是否显示为
.example.com，而不是api.example.com
xhrFields，后端开了 AllowCredentials 却还用 * 当 Origin，或者 Cookie 的 Domain 写窄了。三者必须同时到位，缺一不可。 
