javascript跨域携带凭证需前后端协同：前端fetch设credentials:'include'或xhr设withcredentials=true；后端必须返回access-control-allow-origin具体域名和access-control-allow-credentials:true；cookie还需samesite=none且secure；推荐token方案替代。
JavaScript 中处理跨域请求的凭证（如 Cookie、HTTP 认证信息）需要前后端协同配合，核心在于明确设置 credentials 选项并确保服务端响应头正确支持。
前端：fetch 或 XMLHttpRequest 必须显式启用 credentials
默认情况下，跨域请求不会发送 Cookie 或其他认证凭据。必须主动开启：
- 使用
fetch时，添加credentials: 'include'（发送 Cookie）、'same-origin'（同源才发）或'omit'（从不发）；最常用的是'include'。 - 使用
XMLHttpRequest时，调用xhr.withCredentials = true。 -
注意：
credentials: 'include'要求后端必须在Access-Control-Allow-Origin中指定具体域名（不能为*），否则浏览器会拒绝响应。
后端：CORS 响应头必须匹配前端要求
仅前端设置不够，服务端需返回正确的 CORS 头：
Java JDK 25
下载
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
-
Access-Control-Allow-Origin：必须是确切的请求来源（如https://a.com），不可用通配符*（除非 credentials 为 omit）。 -
Access-Control-Allow-Credentials：必须设为true，明确允许携带凭证。 -
Access-Control-Allow-Headers（如需自定义头）和Access-Control-Allow-Methods也需按需配置。 - 若涉及预检请求（如带 Authorization 头或 Content-Type 为 application/json 的 POST），还需处理
OPTIONS请求并返回上述头。
Cookie 本身需满足安全策略才能被跨域携带
即使前后端都配置正确，Cookie 还需满足以下条件才会被自动带上：
- 服务端 Set-Cookie 时，必须设置
SameSite=None（表示允许跨站发送）； - 同时必须设置
Secure（即 Cookie 只能通过 HTTPS 传输）； - 浏览器需支持 SameSite=None（Chrome 80+、Firefox 79+ 等主流版本已支持）；
- 用户未禁用第三方 Cookie（部分隐私模式或浏览器设置可能阻止）。
替代方案：Token 模式更可控（推荐用于多数场景）
若 Cookie 方案复杂或受限（如开发环境 HTTP 协议、测试域名无 HTTPS），可改用 Token（如 JWT）方式管理登录态：
- 登录成功后，后端返回 token，前端存在
localStorage或内存中； - 后续请求通过
Authorization: Bearer xxx头携带，不受 SameSite / Secure 限制； - 服务端只需校验 token 有效性，无需依赖 Cookie，CORS 配置也更宽松（
Access-Control-Allow-Origin: *可行）。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
