ASP.NET Core跨域携带Cookie失败解决方案（CORS + SameSite完整指南）

在前后端分离架构中，使用 ASP.NET Core 时经常会遇到一个经典问题：跨域请求可以成功，但Cookie无法携带或无法写入。这个问题本质上不是单一配置错误，而是由浏览器安全策略（CORS + SameSite）共同导致的。

本文从原理到实战，系统讲清 ASP.NET Core 如何解决跨域 Cookie 失效问题。

为什么跨域无法携带 Cookie？

跨域 Cookie 失败通常由三个核心原因导致：

浏览器默认禁止跨站 Cookie：现代浏览器默认将 Cookie 视为 SameSite=Lax，这意味着跨站请求不会携带 Cookie。
CORS 默认不允许携带凭证：即使接口允许跨域，如果没有开启凭证支持，Cookie 仍不会发送。
前端未显式开启 withCredentials：浏览器默认不会在跨域请求中附带 Cookie，需要手动开启。

服务端（ASP.NET Core）正确配置

1. 配置 CORS 允许携带 Cookie

services.AddCors(options =>
{
    options.AddPolicy("CorsPolicy", builder =>
    {
        builder
            .WithOrigins("https://your-frontend.com") // 不能用 *
            .AllowAnyMethod()
            .AllowAnyHeader()
            .AllowCredentials(); // 关键
    });
});

注意：不能使用 AllowAnyOrigin()，否则 Cookie 无法携带。

然后在中间件中启用：

app.UseCors("CorsPolicy");

2. 设置 Cookie 的 SameSite 和 Secure

services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.None; // 允许跨域
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 必须 HTTPS
});

关键点：

SameSite=None：允许跨站请求携带 Cookie
Secure=true：必须 HTTPS，否则浏览器直接拒绝

3. 手动写 Cookie 示例

Response.Cookies.Append("token", "value", new CookieOptions
{
    HttpOnly = true,
    Secure = true,
    SameSite = SameSiteMode.None
});

前端必须同步配置

无论你使用 Axios 还是 Fetch，都必须开启凭证：

Axios 示例：

axios.defaults.withCredentials = true;

或

axios.get(url, {
  withCredentials: true
});

否则浏览器不会发送 Cookie，即使后端配置完全正确。

最容易踩坑的 5 个问题

1. 使用了 AllowAnyOrigin()

直接导致 Cookie 失效。

2. 忘记 HTTPS

SameSite=None 强制要求 Secure=true。

3. 前端没开 withCredentials

请求不会带 Cookie。

4. 域名不一致

比如：

前端：localhost:3000
后端：127.0.0.1:5000

浏览器认为是不同站点。

5. Cookie 域设置错误

options.Cookie.Domain = ".yourdomain.com";

用于子域共享（如 api.xxx.com 和 www.xxx.com）。

完整正确配置总结

要实现跨域携带 Cookie，必须同时满足：

服务端：

CORS允许凭证（AllowCredentials）
指定具体域名（不能*）
Cookie设置：SameSite=None，Secure=true

客户端：withCredentials=true

环境：HTTPS协议

进阶建议（生产环境）

如果你是做真实项目，而不是测试环境，建议尽量使用同域或子域方案，例如api.xxx.com + www.xxx.com。避免依赖 Cookie 做跨域认证，推荐使用 JWT + Authorization Header，因为 Cookie 天生受浏览器限制较多。