必须在upload.render中显式设置xhrfields: {withcredentials: true}，因layui上传用原生xhr而非jquery ajax，不读取$.ajaxsetup；后端还需同步配置access-control-allow-credentials: true、精确域名的access-control-allow-origin及合法cookie domain。
必须在 upload.render 配置中显式设置 xhrfields: { withcredentials: true }，否则浏览器根本不会发送 cookie，后端收不到也查不出原因。
为什么全局 $.ajaxSetup 对 Layui 上传无效
Layui 的 upload 组件底层不走 jQuery AJAX，而是用原生 XMLHttpRequest 实现，所以它完全不读取 $.ajaxSetup 的配置。哪怕你全局写了：
$.ajaxSetup({ xhrFields: { withCredentials: true } });
对 upload.render 也毫无作用。
常见错误现象：登录态正常、其他接口能带 Cookie，唯独上传失败或后端收不到用户身份信息。
-
upload必须单独配xhrFields，不能靠“继承” -
headers或beforeSend里设withCredentials也不生效 - 只写
withCredentials: true不包在xhrFields对象里，会静默忽略
xhrFields: { withCredentials: true } 的硬性配套要求
前端开了 withCredentials 只是第一步，后端必须同步满足三个条件，否则浏览器直接拦截请求（CORS 错误）：
- 响应头必须包含
Access-Control-Allow-Credentials: true -
Access-Control-Allow-Origin不能是*，必须是精确域名，比如https://example.com - Cookie 本身需带
Domain和Path属性，例如Set-Cookie: sessionId=xxx; Domain=.example.com; Path=/; HttpOnly
漏掉任意一项，控制台都会报 Failed to load ... Credentials flag is 'true', but the 'Access-Control-Allow-Credentials' header is '' 这类错误。
Element UI 的 el-upload 对比参考
如果你在切换框架或排查问题，注意 Element UI 的处理方式完全不同：
el-upload 是 Vue 组件，靠属性控制：:with-credentials="true" 即可，不需要手动操作 XHR 实例。
而 Layui 是 jQuery 风格，所有底层行为都得在 upload.render 的配置对象里声明，没有快捷属性。
两者看似目标一致，但实现机制和配置入口完全不同，不能互相套用写法。
最容易被忽略的是后端的 Access-Control-Allow-Origin 必须写死域名——很多开发者卡在这一步，反复检查前端代码却没意识到问题出在响应头配置上。
