必须前后端及cookie三者严格配合：前端设credentials: 'include'，服务端返回access-control-allow-credentials: true且access-control-allow-origin为具体域名（不可用*），cookie需满足samesite=none、secure（https下）、domain/path匹配。
要让 JavaScript 跨域请求携带 Cookie、Authorization 头等凭证，光在前端写 credentials: 'include' 不够，必须前后端三者严格配合：前端明确声明、服务端精确响应、Cookie 自身属性合规。
前端必须显式设置 credentials: 'include'
Fetch 请求默认不发 Cookie，跨域时需手动开启：
-
Fetch：每次调用都要加
{ credentials: 'include' }，例如：fetch('https://api.example.com/user', { credentials: 'include' }) -
XMLHttpRequest：在
send()前设xhr.withCredentials = true -
Axios：全局配置
withCredentials: true，或单个请求加{ withCredentials: true }
服务端必须返回两个关键响应头
浏览器收到响应后会检查这两个头，缺一不可：
Wjs Uploading Video
下载
将一个或多个视频上传至YouTube。当用户想“上传到YouTube”“发YouTube”“批量上传”“upload to YouTube”“post videos to YouTube”或发布到YouTube时使用此技能。
-
Access-Control-Allow-Credentials: true—— 明确授权携带凭证 -
Access-Control-Allow-Origin: https://your-app.com—— 必须是具体协议+域名+端口（如https://app.example.com），绝不能是 *
如果前端在 http://localhost:3000 开发，服务端就得写 http://localhost:3000；生产环境是 https://app.example.com，就不能只写 example.com 或漏掉 https://。
Cookie 本身要满足传输条件
即使前后端都配对了，浏览器仍可能拒绝发送 Cookie，常见原因：
-
SameSite=None：跨域场景下必须设为
None，否则默认Lax会拦截 -
Secure：必须搭配
SameSite=None使用，且仅在 HTTPS 下生效；HTTP 环境（如http://localhost）需改用 HTTPS 本地开发（如https://localhost）或代理 -
Domain 和 Path 匹配：比如 Cookie 的
Domain=example.com，请求地址必须是api.example.com或www.example.com；Path=/api就不会出现在/user请求中
替代方案：用 Token 避开 Cookie 限制
如果调试成本高（尤其多子域、无 HTTPS 开发环境），推荐换用 Token 方案：
- 登录后，后端返回 JWT 或随机 token，前端存入
localStorage或内存 - 后续请求通过
Authorization: Bearer xxx发送，完全不受SameSite、Secure限制 - 服务端验证 token 并关联用户身份，逻辑更清晰，也更利于前后端解耦
