浏览器不将cookie发送到同一域内的API

Question

我已将API部署在两个单独的名称空间中，admin.abc.com（原始）和api.admin.abc.com（new）。完成登录后，admin.abc.com网站.admin.abc.com设置了JWT cookie。 cookie用于会话，安全和httponly，并且没有设置任何框架限制。此cookie适用于admin.abc.com的所有API调用。

由于一些新的更改需要单独部署的一些服务，因此现在还在命名空间api.admin.abc.com中部署了服务。我有一个状态页面，可以为我提供有关服务，内存等的信息，并且对原始名称空间的工作正常。但是，当我将状态调用添加到第二个命名空间时，没有传递cookie，呼叫失败了身份验证。但是，如果我在浏览器中的另一个选项卡中打开URL，则cookie将传递给后端，并且通话成功。

在检索JWT的价值后，我研究了在请求期间将自己的cookie设置在标题中。这是有两个原因的失败的：1）我不相信我可以访问JWT的值，因为cookie是httponly，而2）我无法在httpheader选项中设置cookie。如果尝试尝试，我会在控制台中获得“拒绝设置不安全标头”错误。如果我打开“使用授权：true”，它确实设置了它（但仍打印出错误），然后实际上遇到了CORS错误。

如果我使用EditthisCookie扩展程序手动在cookie上手动禁用HTTPonly标志，则可以成功使用呼叫。我真的不认为这是我公司安全的选择，但是从技术上讲，这是有效的。

我知道一些建议将JWT作为授权发送：我会这样做，但是由于cookie是httponly的，我无法检索该值并以编程方式设置它。此外，有时我想发送另一个网站cookie，我无法真正切换到一些自定义标题。

关于我能做什么的想法？不可能吗？我唯一的选择是，必须通过内置的旧名称空间内置的API来路由新名称空间的所有请求。