samesite=none必须与secure=true同时设置，否则chrome 80+等浏览器直接丢弃cookie；开发环境需用https://127.0.0.1或动态判断https并透传x-forwarded-proto，前端fetch须设credentials: 'include'。
SameSite=None 必须配 Secure=true，否则浏览器直接丢弃
Chrome 80+、Edge 80+、Firefox 79+ 强制要求：SameSite=None 与 Secure=true 必须同时存在，缺一不可。只设 SameSite=None 而响应头里没 Secure，浏览器连 Cookie 都不存——你在开发者工具的 Application → Cookies 面板里根本看不到它，后续请求自然也不带。
常见错误操作：
- 开发环境硬写
cookie.Secure = true，但跑在http://localhost:5000上 → Cookie 彻底失效 - ASP.NET Core 3.1+ 默认
SameSite=Lax，显式设None却忘了同步处理Secure - Nginx 反向代理后，
Request.IsHttps始终返回false，因为没透传X-Forwarded-Proto
ASP.NET Core 全局策略比单点 SetCookie 更可靠
手动在每个 Response.Cookies.Append() 里重复写 Secure 和 SameSite 容易漏、难维护。推荐用 CookiePolicyOptions 统一控制，但必须动态判断 HTTPS 状态：
正确写法（.NET 5+）：
services.Configure<cookiepolicyoptions>(options =>
{
options.MinimumSameSitePolicy = SameSiteMode.None;
options.OnAppendCookie = context =>
{
if (context.Context.Request.IsHttps ||
context.Context.Request.Headers["X-Forwarded-Proto"] == "https")
{
context.CookieOptions.Secure = true;
}
};
});</cookiepolicyoptions>
关键点：
-
MinimumSameSitePolicy = SameSiteMode.None不够，必须配合OnAppendCookie回调 - 别直接写死
context.CookieOptions.Secure = true，要依赖IsHttps或X-Forwarded-Proto - 若用 Nginx，确认已配置
proxy_set_header X-Forwarded-Proto $scheme;且可信
前端 fetch 必须显式声明 credentials: 'include'
后端全配对了，前端不声明，照样不发 Cookie。这不是 CORS 配置能解决的，而是请求发起方的显式承诺。
错误现象：Network 面板里请求头没有 Cookie 字段，控制台也无 CORS 报错。
正确做法：
-
fetch(url, { credentials: 'include' })—— 注意不是'same-origin'，也不是默认值 - XMLHttpRequest 要设
withCredentials = true - 如果前端是 iframe 场景，还要检查父页面是否设置了
document.domain或启用了 COOP/COEP
Safari（尤其是 iOS 14+）更激进，即使全配对，也可能因 ITP 机制限制第三方 Cookie，需额外考虑降级方案（如 token 存 localStorage + Authorization header）。
本地调试时 SameSite=None 总失败？换域名或绕过限制
Chrome 和新版 Edge 把 localhost 当作“非安全上下文”，哪怕你用自签名证书跑 HTTPS，只要域名不是真实 TLS 有效域名（比如不是 https://127.0.0.1），SameSite=None 就会被拒绝。
可行解法：
- 改用
https://127.0.0.1:5001启动（Kestrel 支持），并用自签名证书 - 开发阶段临时降级为
SameSite=Lax（适合大部分跨站 GET 导航场景） - Chrome 启动参数加
--unsafely-treat-insecure-origin-as-secure="http://localhost:5000" --user-data-dir=/tmp/chrome-test（仅测试用）
真正容易被忽略的是：SameSite 判断依据是「站点（site）」，不是「域名（domain）」。协议 + 注册域（如 example.com）+ 端口（若显式指定）三者完全一致才算同站。跨子域（a.example.com → b.example.com）已是跨站，必须走 None + Secure 路线。
