cookies - 为什么浏览器不将在子域中创建的 cookie 存储在引用子域中？

Question

当我使用 cookie 来存储 token 进行身份验证时，我遇到了一些问题，这些 cookie 应该在子域之间传递，例如，我将身份验证代码部署在名为 services.mydomain.co< 的子域中/strong> 和我的前端位于名为 apps.mydomain.co 的子域中，当有人进行身份验证时，我的身份验证代码会创建一个带有 Domain 标签的 cookie，如下所示:Domain=.mydomain.co 以便使其能够在 mydomain.co< 的所有子域之间传递/strong>，但残酷的现实是它不起作用，甚至浏览器也没有存储 cookie。

身份验证后，cookie 已成功传递到响应 header 中，但浏览器未存储它。

我以这种方式创建cookie:Set-Cookie: myKey=myKeyValue;path=/;httpOnly;Max-Age=1555520000;Domain=.mydomain.co;sameSite=none

希望有人能给我建议，并对我的英语不好表示歉意。

Answer 1

在您的示例中，您设置的 SameSite=None 没有 Secure。这是无效的，浏览器(Chrome、Edge、Firefox 等)将开始拒绝此操作。

但是，您应该检查您网站上 Chrome 中的 DevTools 以查看具体错误。您可以在“网络”选项卡中检查控制台和各个请求，以查看给定 cookie 的问题。

您可以在 https://www.chromium.org/updates/same-site/test-debug 上找到更多详细信息