Ajax本身无法直接读取服务器Set-Cookie，必须通过XMLHttpRequest或FetchAPI配置withCredentials属性为true，并在服务器端设置Access-Control-Allow-Credentials:true及具体的Access-Control-Allow-Origin域名，才能在前端JavaScript中通过document.cookie获取到携带了HttpOnly标记以外的Cookie信息。
在Web开发中，前端通过Ajax请求后端数据时，经常需要读取或同步用户的登录状态，很多开发者误以为只要请求发出，就能随意读取服务器返回的Cookie，浏览器的同源策略（Same-OriginPolicy）和CORS（跨域资源共享）机制构成了第一道防线。
默认情况下，Ajax请求被视为普通请求，如果服务器返回了Set-Cookie头，浏览器会自动存储这些Cookie，但前端JavaScript代码无权访问标记为HttpOnly的Cookie，这是为了防止XSS（跨站脚本攻击）窃取用户会话。
document.cookie无法读取它们。要实现Ajax获取服务器Cookie，必须打破默认的安全限制，核心在于让浏览器知道“这个请求是可信的”，并允许凭证（Cookies、Authorizationheaders等）随请求一起发送。
以常见的XMLHttpRequest为例,需要在发送请求前设置：
对于FetchAPI,配置方式如下：
前端配置只是第一步，服务器端的配合至关重要，如果服务器没有正确配置CORS响应头，前端即使设置了
withCredentials，请求也会被浏览器拦截,导致无法获取Cookie或请求失败。
服务器在响应中必须包含以下关键头信息,否则跨域请求中的Cookie处理将失效。
Access-Control-Allow-Credentials:true
这是最关键的一行，它告诉浏览器：“允许在此跨域请求中发送和接收Cookie”，如果缺少此头，或者值为false，浏览器将拒绝将Cookie发送给服务器,同时也禁止前端读取响应。
Access-Control-Allow-Origin:[具体域名]
注意：在设置了Allow-Credentials:true的情况下，Allow-Origin绝对不能设置为通配符，必须明确指定允许访问的前端域名，例如http://www.yourdomain.com，这是出于安全考虑,防止恶意网站窃取用户凭证。
Vary:Origin
建议添加此头，告知缓存服务器根据Origin头来缓存不同的响应,避免将针对特定域名的CORS头错误地缓存给其他域名。
很多开发者在配置ajax获取服务器cookie时遇到“请求成功但Cookie未发送”或“前端无法读取Cookie”的问题,通常源于以下配置错误：
Access-Control-Allow-Origin:配合Access-Control-Allow-Credentials:true。
withCredentials，但后端未设置Allow-Credentials:true。
为了让大家更清晰地理解如何落地实施，下面提供一个基于Node.jsExpress后端和前端Fetch请求的完整配置示例,这个场景涵盖了大多数现代Web应用的需求。
假设后端使用Express框架，需要安装
cors中间件并正确配置。
前端使用FetchAPI发起请求,确保携带凭证。
HttpOnly标志设为false，但这会带来安全风险,需确保其他安全措施到位。SameSite设置为None，并配合Secure标志（即HTTPS环境），否则,浏览器可能会阻止Cookie的发送。当配置完成后仍无法获取Cookie,请按以下顺序排查：
res.cookie未生效或HttpOnly/Secure/SameSite配置有误。Access-Control-Allow-Origin中配置的域名完全一致，包括协议（http/https）和端口。Domain和Path设置正确,使其对当前前端页面可见。业内专家指出，前端直接操作Cookie存在XSS风险，除非必要，应避免让前端读取敏感Cookie，对于非敏感数据，建议使用localStorage或sessionStorage存储，并通过Ajax与后端同步状态,而非依赖Cookie的前端读取。
行业共识认为，主流浏览器（Chrome,Firefox,Safari,Edge）在CORS和Cookie处理上基本遵循W3C标准，但Safari在第三方Cookie限制上更为严格，默认阻止第三方Cookie，在跨域场景中，务必测试Safari浏览器，确保SameSite=None和Secure标志正确配置,否则Cookie可能无法在Safari中正常工作。
Ajax获取服务器Cookie并非简单的代码调用，而是涉及浏览器安全策略、CORS配置、后端响应头设置的系统工程，核心在于前后端协同：前端设置withCredentials或credentials:'include'，后端设置Access-Control-Allow-Credentials:true及具体的Access-Control-Allow-Origin，只有当这些配置准确无误时，跨域请求中的Cookie才能正常传输和读取，对于敏感数据，建议优先使用后端会话管理，而非依赖前端Cookie读取,以确保更高的安全性。
微信 
电话 
QQ