Set-Cookie在HTTPS重定向后失效，主因是Secure、SameSite和Domain三者与协议切换及跨域场景不匹配：Secure标志在HTTP初始访问时被浏览器拒绝；SameSite=Lax/Strict在跨站重定向中阻止Cookie发送；Domain设置错误（如localhost不支持Domain属性）导致写入失败。
HTTPS 重定向本身不会直接导致 Set-Cookie 失效，真正起作用的是重定向过程中触发的 Cookie 安全策略联动——尤其是 Secure、SameSite 和 Domain 三者在协议切换与跨域场景下的协同失效。常见表现是：登录接口返回了带 Set-Cookie 的 HTTPS 响应，浏览器却没存；后续请求不带 Cookie，会话校验失败。
Secure 标志与协议不匹配
当后端在 Set-Cookie 中设置了 Secure（例如 Set-Cookie: JSESSIONID=abc; Path=/; Secure; HttpOnly），浏览器只允许该 Cookie 在 HTTPS 连接中被发送和存储。但如果用户最初通过 HTTP 访问（如 http://example.com），即使后端 302 重定向到 HTTPS 地址，浏览器仍可能因初始上下文为非安全协议而拒绝写入该 Cookie。
- 本地开发时用
http://localhost:8080测试，但 Spring Boot 默认开启server.servlet.session.cookie.secure=true，就会静默丢弃 Cookie - 生产环境若 Nginx 或 CDN 未正确透传
X-Forwarded-Proto: https，后端误判为 HTTP 请求，也可能错误地加 Secure 标志 - 修复方式：确保后端能准确识别真实协议，在非 HTTPS 环境下禁用 Secure；或统一强制 HTTPS 入口，并配置反向代理正确设置
secure=true
SameSite 属性在重定向链中的拦截
Chrome 80+ 默认将未声明 SameSite 的 Cookie 视为 SameSite=Lax。若重定向发生在跨站场景（如从 https://login.example.com 登录后跳转到 https://app.example.com），且 Cookie 带 SameSite=Lax 或 Strict，则跳转后的首屏请求不会携带该 Cookie——因为 Lax 仅允许顶级导航 GET 请求携带，而重定向后的页面加载属于“跨站顶级导航”，但 Cookie 若设为 Lax 且原请求非 GET（如 POST 登录），就无法附带。
- 典型现象：登录响应头有 Set-Cookie，但 Network 面板显示黄色警告 “This Set-Cookie was blocked because it had the ‘SameSite=None’ attribute but did not have the ‘Secure’ attribute”
- 正确做法：跨子域或前后端分离部署时，必须显式设为
SameSite=None; Secure - Spring Boot 配置示例：
server.servlet.session.cookie.same-site=none
server.servlet.session.cookie.secure=true
Domain 不一致引发的写入失败
重定向常伴随域名变更（如从 API 域名跳到前端域名），而 Set-Cookie 的 Domain 属性若设置不当，会导致浏览器拒绝存储。例如：
- 后端响应中写
Domain=api.example.com，但当前页面地址是https://www.example.com→ 不匹配，Cookie 被忽略 - 设为
Domain=.example.com可支持子域共享，但必须确保当前页面域名确属该主域，且不能用于 localhost（浏览器不认Domain=localhost） - 更稳妥的做法：不设 Domain，依赖浏览器默认行为（即仅对当前 host 生效）；或通过反向代理统一前后端入口域名（如全部走
https://example.com），从源头消除跨域
配套前端与代理层关键配置
仅改后端不够，前端请求和网关层必须协同：
- 前端 Axios/Fetch 必须启用凭证传递：
withCredentials: true（否则即使 Cookie 存在也不会发） - Nginx 反向代理需添加：
add_header 'Access-Control-Allow-Origin' 'https://your-frontend-domain.com';
add_header 'Access-Control-Allow-Credentials' 'true'; - 确保代理透传关键头：
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Host $host; - 避免使用 IP + 端口直连开发，改用 hosts 绑定域名（如
127.0.0.1 myapp.local），再配 HTTPS 本地证书，让开发环境贴近生产
