samesite=none必须与secure=true配合且运行于https，否则浏览器静默丢弃；layui需手动配置credentials: 'include'，spring boot须在application.yml中设same-site: none、secure: true并确保反向代理透传https上下文。
高版本 Chrome（80+）、Edge（80+）、Firefox（79+）中，layui 本身不管理 Cookie，但凡用到登录态、会话保持或跨域请求（比如 layui.table 调后端接口），只要后端返回的 Set-Cookie 缺少 SameSite 属性，就会被浏览器默认按 SameSite=Lax 处理——跨域场景下直接丢弃，导致后续所有请求无 Cookie，layui 看起来“突然登出”或接口反复 401。
后端响应头没设 SameSite=None + Secure 是根本原因
不是 layui 的 bug，是浏览器策略升级后的硬性拦截。检查 Network → 登录请求 → Response Headers → Set-Cookie 字段，如果只看到类似：
Set-Cookie: JSESSIONID=abc123; Path=/; HttpOnly
而没有 SameSite=None; Secure，那就确定是这个问题。常见于 Spring Boot、Laravel、ASP.NET Core 等框架未显式配置 SameSite 属性时。
必须同时满足三点才有效：
-
SameSite=None（显式声明，不能省略） -
Secure=true（且实际运行在 HTTPS 上下文） - 前端发起请求时带凭证（
credentials: 'include'）
layui 的 AJAX 请求必须手动加 credentials
layui 默认所有 $.ajax 和组件内部请求（如 table.render、form.on('submit')）都不带 Cookie，除非你显式开启。它不自动继承浏览器默认行为。
全局设置（推荐放在 layui.use 外或入口 JS 最前）：
$.ajaxSetup({ credentials: 'include' });
或单次调用时指定：
layui.table.render({ url: '/api/user/list', headers: { 'X-Requested-With': 'XMLHttpRequest' }, where: {}, method: 'get', contentType: 'application/json', done: function(res) { /* ... */ } });
注意：table 组件不支持直接传 credentials，所以必须靠 $.ajaxSetup 或改用 $.get/$.post 手动拉数据。
常见错误：
- 只设了
withCredentials: true（这是原生XMLHttpRequest写法，layui不认） - 用
fetch封装了layui接口但忘了{ credentials: 'include' } - 本地开发用
http://localhost却配了SameSite=None; Secure→ 浏览器静默丢弃（Secure在 HTTP 下无效）
Spring Boot 项目里怎么配才真正生效
仅改 application.yml 不够，很多老项目漏掉关键项：
server:
servlet:
session:
cookie:
http-only: false
same-site: none
secure: true
但要注意：
-
same-site: none必须小写，大写（如None）在某些 Spring 版本下会被忽略 -
secure: true在 Nginx 反向代理后必须透传X-Forwarded-Proto: https，否则 Kestrel/Servlet 拿不到 HTTPS 上下文，Secure不会写入响应头 - 若用
Cookie对象手动 set（如登录成功后 new Cookie(...)），javax.servlet.http.Cookie原生不支持SameSite，得用响应头方式注入：response.addHeader("Set-Cookie", "key=value; Path=/; SameSite=None; Secure; HttpOnly")
验证是否真生效：Network 中点开任意一个带 Set-Cookie 的响应，看 Response Headers 里是否完整出现 SameSite=None; Secure 在同一行 —— 缺一不可。
本地开发调试绕不过 HTTP？别硬刚 SameSite=None
Chrome 对 localhost 有例外：允许 SameSite=None; Secure=false（仅限 localhost 和 127.0.0.1），但必须关掉两个 flag：
-
chrome://flags#same-site-by-default-cookies→ Disabled -
chrome://flags#cookies-without-same-site-must-be-secure→ Disabled
重启浏览器后生效。但这只是临时手段，上线前必须切回 HTTPS + Secure=true，否则生产环境照样失败。
真正容易被忽略的点：同一个域名下多个子应用（如 admin.example.com 和 api.example.com）要共享 Cookie，除了后端配 SameSite=None; Secure，还必须统一 domain 属性（如 domain=.example.com），否则浏览器认为不是同站，SameSite 规则照常触发。
