核心是前后端协同配置：前端需设 credentials: 'include'，后端必须返回 access-control-allow-origin（明确域名）和 access-control-allow-credentials: true，且 cookie 需含 secure; samesite=none。
在 JavaScript 接口调用中处理跨域凭证（如 Cookie、HTTP 认证头）传递，核心是同时配置前端请求和后端响应，缺一不可。默认情况下，跨域请求不会携带凭证，即使服务端允许跨域，浏览器也会主动剥离 Cookie 和 Authorization 等敏感信息。
前端：设置 credentials 选项为 'include'
使用 fetch 或 XMLHttpRequest 发起请求时，必须显式开启凭证携带：
-
fetch：添加
{ credentials: 'include' }—— 注意不能写成'same-origin'或省略，否则跨域时不会发 Cookie -
axios：设置
withCredentials: true -
jQuery.ajax：设置
xhrFields: { withCredentials: true }
示例（fetch）：
fetch('https://api.example.com/user', {
method: 'GET',
credentials: 'include' // 关键：必须设为 'include'
});
后端：正确响应 CORS 头，且 Access-Control-Allow-Origin 不能为通配符
服务端需返回以下响应头，且必须满足严格条件：
-
Access-Control-Allow-Origin必须指定**具体源**（如https://your-app.com），不能是*；否则浏览器会拒绝带凭证的响应 -
Access-Control-Allow-Credentials必须设为true - 如需自定义请求头（如
X-Auth-Token），还需设置Access-Control-Allow-Headers - 若涉及预检（OPTIONS），这些头也需在预检响应中返回
常见错误：后端写了 Access-Control-Allow-Origin: * + Access-Control-Allow-Credentials: true → 浏览器直接报错，因二者互斥。
Cookie 本身需满足安全属性要求
若依赖 Cookie 传身份凭证（如 session ID），还需确保：
- 服务端 Set-Cookie 响应头中包含
SameSite=None（跨域场景必需） - 同时必须带上
Secure属性（即 Cookie 只通过 HTTPS 传输） - 前端域名与 Cookie 的
Domain属性匹配（例如后端设了Domain=example.com，前端需在app.example.com或api.example.com下运行）
不满足任一条件，浏览器可能忽略该 Cookie，导致后续请求不携带凭证。
调试建议：分步验证
遇到凭证不生效时，按顺序检查：
- 浏览器开发者工具 Network 面板中，看请求是否真的带了 Cookie（Request Headers → Cookie）
- 看响应头是否有
Access-Control-Allow-Credentials: true且Access-Control-Allow-Origin是精确域名 - 检查响应中 Set-Cookie 是否含
Secure; SameSite=None（HTTPS 环境下） - 确认当前页面协议、域名、端口与目标 API 完全符合同源或预设跨域规则
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
