单点登录（SSO）中跨域跳转无法携带 Cookie 的核心原因是浏览器同源策略与 Cookie 的 SameSite 属性、Domain 设置共同限制：SameSite=Lax/Strict 阻止跨站发送，Domain 不匹配导致无法共享；CORS 仅管控 AJAX 响应读取，不解决跳转时的凭证传递。
单点登录（SSO）中跨域跳转携带凭证，核心矛盾在于：浏览器同源策略默认阻止跨域请求携带 Cookie，而 SSO 流程又依赖 Cookie（如 session ID、JWT token cookie）在多个子域或不同域间传递认证状态。CORS 本身不直接解决“跳转时的凭证传递”，它只管 AJAX 请求的响应读取权限；真正影响跳转凭证的是 Cookie 的 SameSite 属性、Domain 设置，以及跳转方式本身。
为什么普通跨域跳转拿不到 Cookie？
当用户从 https://login.example.com 登录成功后重定向到 https://app.other-site.com，如果后端在登录响应中设置了 Set-Cookie，但该 Cookie 的 Domain 没覆盖目标域，或 SameSite=Strict/Lax 阻止了跨站发送，浏览器就不会在跳转后的页面请求中带上这个 Cookie——导致目标站点无法识别用户身份。
关键点：
-
SameSite=Lax（现代浏览器默认）：允许 GET 跳转时携带 Cookie，但禁止 POST 表单提交或 fetch 带凭据的跨域请求中发送 -
SameSite=Strict：完全禁止跨站上下文发送 Cookie -
SameSite=None：必须搭配Secure=true（即仅 HTTPS），且需明确指定Domain（不能是顶级域名如.com） -
Domain必须为父域（如.example.com），才能被app.example.com和auth.example.com共享；跨主域（如example.com→other-site.com）无法通过 Cookie Domain 共享，必须换方案
常见 SSO 跨域凭证传递方案
根据是否同主域（如 app.example.com ↔ login.example.com）或完全跨主域（如 example.com ↔ thirdparty.com），适用不同方式：
立即学习“Java免费学习笔记（深入）”；
-
同主域多子域（推荐）：统一设置 Cookie
Domain=.example.com; SameSite=None; Secure，所有子域可自动共享登录态。跳转时无需额外操作，浏览器自动携带 -
跨主域（无共享 Cookie 权限）：不能靠 Cookie 自动传递，需用“令牌中转”：
- 登录成功后，认证中心（IdP）重定向回业务方，并在 URL 中附加一次性授权码（
code）或加密 token（如 JWT） - 业务方前端接收后，用该 code 向 IdP 的后端接口（同源 API）换取用户信息，再由自身后端设自己的 Cookie
- 整个过程避免前端 JS 直接处理敏感凭证，也绕开了跨域 Cookie 限制
- 登录成功后，认证中心（IdP）重定向回业务方，并在 URL 中附加一次性授权码（
-
前端跳转 + 后端静默校验（OAuth2 / OIDC 流程）：标准做法。前端跳转到 IdP 登录页（带
redirect_uri），IdP 认证后重定向回业务方，附带code；业务方后端用 code 换 token，再生成自有会话。全程 Cookie 只在各自域内生效，不跨域传输
CORS 在 SSO 中起什么作用？
CORS 不用于跳转本身，而是用于 跳转后，前端 JS 主动调用自己后端 API 时的跨域请求。例如：
- 用户跳转到
https://app.other-site.com后，页面 JS 发起fetch('/api/user')请求自己的后端 - 若该后端 API 地址是
https://api.other-site.com（同源），无需 CORS - 但如果前端想直接调用 IdP 的用户信息接口（如
https://idp.example.com/user），就必须由 IdP 后端配置 CORS 响应头：Access-Control-Allow-Origin: https://app.other-site.com，并支持credentials: true - 注意：此时前端 fetch 必须加
credentials: 'include'，IdP 后端必须设Access-Control-Allow-Credentials: true且Access-Control-Allow-Origin不能为*
实际配置要点（以 Express + Node.js 为例）
若 IdP 提供跨域用户接口供第三方前端调用：
- 登录接口设 Cookie：
res.cookie('session', token, { httpOnly: true, secure: true, sameSite: 'none', domain: '.example.com' }) - 用户信息接口（GET /user）启用 CORS：
origin: ['https://app.other-site.com', 'https://demo.other-site.com'],
credentials: true
}), (req, res) => {
res.json({ user: req.user });
});
前端调用时写：
fetch('https://idp.example.com/user', {credentials: 'include'
})
不复杂但容易忽略
