ajax跨域请求携带cookie需前后端协同：前端设withcredentials=true或credentials='include'，后端禁用access-control-allow-origin:*并精确指定源、启用credentials，cookie须设samesite=none且secure（https下），domain需覆盖子域。
Ajax跨域请求中要让Cookie随请求一起发送，关键不是“绕过”浏览器限制，而是让前后端协同满足CORS凭证机制的硬性要求。核心在于：前端显式声明需要携带凭证，后端必须精准响应对应头信息，且不能用通配符。
前端必须设置 withCredentials = true
默认情况下，跨域 Ajax 请求不会发送 Cookie。无论用原生 fetch 还是 XMLHttpRequest 或封装库（如 Axios），都必须主动开启凭证支持：
-
fetch 写法：
fetch(url, { credentials: 'include' })—— 注意不是'same-origin'（仅同源）或'omit'（默认，不带凭证） -
XMLHttpRequest 写法：在
open()之后、send()之前调用xhr.withCredentials = true -
Axios 写法：全局配置
axios.defaults.withCredentials = true，或单次请求加{ withCredentials: true }
后端必须禁用 Access-Control-Allow-Origin: *
一旦前端开启了凭证，浏览器会拒绝接收 Access-Control-Allow-Origin: * 的响应。后端必须将该响应头设为明确的源（协议+域名+端口），例如 http://localhost:3000 或 https://app.example.com：
Java JDK 25
下载
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
- Express + cors 中间件示例：
app.use(cors({ origin: 'http://localhost:3000', credentials: true })) - Spring Boot 示例：在 Controller 方法上加
@CrossOrigin(origins = "http://localhost:3000", allowCredentials = "true") - Nginx 反向代理时，需手动添加响应头：
add_header 'Access-Control-Allow-Origin' 'http://localhost:3000';和add_header 'Access-Control-Allow-Credentials' 'true';
Cookie 自身属性必须兼容跨域场景
即使 CORS 配置正确，若 Cookie 的属性不符合跨域要求，它依然不会被浏览器自动带上：
-
domain 属性：若后端设置 Cookie 时指定了
Domain=example.com，而前端请求来自admin.example.com，则需确保 domain 值能覆盖子域（如Domain=.example.com） -
SameSite 属性：必须设为
SameSite=None，且同时设置Secure（即只在 HTTPS 下生效）。写法如：Set-Cookie: sessionId=abc; Path=/; Domain=.example.com; SameSite=None; Secure -
Secure 属性：当站点为 HTTP 时，不能设置
Secure；但生产环境强烈建议全站 HTTPS，否则SameSite=None; Secure组合无效
注意浏览器隐私策略的现实影响
某些环境会直接屏蔽跨域 Cookie，开发调试时需留意：
- Chrome 无痕模式、Safari 智能防跟踪、Firefox 严格模式下，默认阻止第三方 Cookie，即使配置正确也可能不携带
- HTTP 页面无法接收
SecureCookie，所以本地开发若用http://localhost，后端就不能设Secure；可临时改为SameSite=Lax或去掉Secure（仅限开发） - 移动端 WebView 或旧版 iOS Safari 对
SameSite=None支持不稳定，需做降级兼容或服务端 fallback 判定
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
