set-cookie 注意事项

[liran]

浏览器（Chrome Version 108.0.5359.124 (Official Build) (arm64)）的规则：

允许：

• 访问 a.abc.com 网站，从 a.abc.com 的服务器返回 cookie：
  • key=value; Path=/; Domain=a.abc.com
  • key=value; Path=/; Domain=abc.com; Secure; SameSite=None 返回 根 abc.com 表示该cookie可以被所有子域名共享。

不允许：

• 访问 a.abc.com 网站，从 a.abc.com 的服务器返回 cookie：
  • key=value; Path=/; Domain=abc.com 因为跨域，缺少属性 Secure; SameSite=None ；
  • key=value; Path=/; Domain=b.abc.com 只允许设置根域名，其他子域名不被允许；
  • key=value; Path=/; Domain=other.com 不允许返回其它域名；
• ⚠️访问 a.abc.com 网站，然后用Login API api.abc.com 登录成功时返回 cookie：
  • key=value; Path=/; Domain=abc.com; Secure; SameSite=None 因为访问的是站点 a.abc.com，但是cookie是 api.abc.com 返回的，浏览器会自动忽略，不报错和警告；

注意：

• 当CORS返回cookie时，必须使用HTTPS，且属性中的Secure; SameSite=None是固定搭配，必须存在；
• 返回根域名时，老的规定在域名前有一个点.abc.com，新规定已经取消，所以在现代浏览器中 .abc.com和abc.com作用一样。