我一定是忽略了饼干的一些基本特性。在localhost上，当我在服务器端设置cookie并显式地将域指定为localhost(或.localhost)时。有些浏览器似乎不接受cookie。
Firefox 3.5:我在Firebug中检查了HTTP请求。我看到的是:
Set-Cookie:
name=value;
domain=localhost;
expires=Thu, 16-Jul-2009 21:25:05 GMT;
path=/
或者(当我设置域为.localhost时):
Set-Cookie:
name=value;
domain=.localhost;
expires=Thu, 16-Jul-2009 21:25:05 GMT;
path=/
在这两种情况下，cookie都不会被存储。
IE8:我没有使用任何额外的工具，但cookie似乎没有被存储，因为它没有在后续的请求中被发送回来。
Opera 9.64: localhost和.localhost都可以工作，但是当我检查Preferences中的cookie列表时，域被设置为localhost。Local，即使它列在localhost下(在列表分组中)。
Safari 4: localhost和.localhost都可以工作，但它们总是在首选项中列出为.localhost。另一方面，一个没有显式域的cookie，它只显示为localhost(没有点)。
localhost有什么问题?由于存在如此多的不一致，必须有一些涉及localhost的特殊规则。另外，我也不完全清楚为什么域名必须以一个点作为前缀?RFC 2109明确指出:
Domain属性的值
不包含或不包含嵌入点
从一个点开始。
为什么?该文档表明它必须在安全性方面做一些事情。我必须承认我没有阅读完整的规范(可能以后会读)，但它听起来有点奇怪。基于此，在本地主机上设置cookie是不可能的。
当您使用https://<local-domain>然后使用http://<local-domain>时，似乎有一个问题。https:// site设置cookie后，http:// site不会随请求一起发送cookie。强制重载和清除缓存没有帮助。只有手动清除cookie才能工作。同样，如果我在https://页面上清除它们，那么http://页面将重新开始工作。
看起来和"严格安全cookie "有关。解释得很好。它于2017-04-19在Chrome 58中发布。
看起来Chrome确实记录了安全cookie和非安全cookie，因为当点击地址栏图标时，它会根据页面的协议显示正确的cookie。
但是开发工具>应用程序> Cookies将不会显示一个非安全cookie，当有一个安全cookie的相同名称的同一域，它也不会发送非安全cookie与任何请求。这似乎是一个Chrome错误，或者如果这种行为是预期的，应该有一些方法来查看安全cookie时，http页面和一个指示，他们正在被覆盖。
解决方法是使用不同的命名cookie，这取决于它们是用于http站点还是https站点，并根据您的应用程序具体命名它们。__Secure-前缀表明cookie应该是严格安全的，这也是一个很好的实践，因为安全和非安全不会冲突。前缀还有其他好处。
使用不同的/etc/hosts域进行https和http访问也可以，但是一次意外的https://localhost访问将阻止任何相同名称的cookie在http://localhost站点上工作-所以这不是一个好的解决方案。
我已经提交了Chrome错误报告。
我解决的跨站点cookie问题是这样的:
后端
服务器端
服务网站:http://localhost:8080
创建响应时，设置Cookie
属性:
SameSite=None; Secure; Path=/
客户端
Frontend(在我的例子中是Angular)
服务网站:http://localhost:4200/
当发送请求到服务器(后端)
设置XHR.withCredentials = true:
var xhr = new XMLHttpRequest();
xhr.open('GET', 'http://localhost:8080/', true);
xhr.withCredentials = true;
xhr.send(null);
我的解释:
when backend and frontend domains differ the decision if the cookies will be saved in frontend domain cookie storage from received response is brought by the browser. Browser will allow sending cookies ONLY if XHR request has withCredentials=true and correct server Cookie attributes (HTTP Set-Cookie header) are recieved
when backend and frontend domains differ the decision if the cookies will be sent within request is brought by the browser. Browser will allow this ONLY if XHR request has withCredentials=true
in other words, if withCredentials=true is ommited - cookies won't be sent within request NOR will be recieved and saved from response
recieved cookies are allways stored under frontend domain name in browser cookie storage. In case when server domain differs and cookies are saved successfully, the effect is the same as if they have been sent by frontend domain in the first place.
if SameSite=None cookie attribute is omitted today's browser (Firefox/Chrome) will use default Lax mode which is too strict for cross site cookies
if Secured cookie attribute is ommited - then SameSite=None will be ignored - it requires Secured to be set
for localhost Secured cookie property browser does not require HTTPS / SSL, http will work - no need to serve frontend or backend under https://localhost ...
编辑2022-03-02 -对于Safari (v15.1)，这是不正确的->在Safari http://localhost + cookie与安全- cookie将被忽略，而不是保存在浏览器中(解决方案:对于Safari + http://localhost删除Secure和SameSite如果提供)。
编辑2023-01-13 - @Barnaby报告说“Firefox拒绝设置它:'被拒绝，因为非https cookie不能被设置为'安全'。’”如果是这样的话，针对Safari的解决方案应该可以工作(见上面的EDIT 2022-03-02)。
诊断提示:
为了检查cookie是否被发送-打开浏览器开发工具并检查网络选项卡。找到后端请求并检查Headers -在请求头中搜索Cookie头，在响应头中搜索Set-Cookie
为了检查cookie是否被保存-打开浏览器开发工具，查看存储管理器(Firefox)，检查cookie并搜索前端域名，检查cookie是否存在，如果存在，检查它是什么时候创建的…
别忘了先在后端设置CORS
参考:https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Set-Cookie
