尽管正确配置了选项和 CORS，但获取不包括 Cookies

Question

我有一个后端服务器 --

https://b.com

-- 和一个客户端服务器 --

https://a.com

。我想发出从

a.com

到

b.com

.

的经过身份验证的 ajax 请求

在发出请求之前，用户将转到

b.com

并登录。会话cookie将以

HttpOnly

，

Secure

和

SameSite=None

选项存储在浏览器中。

fetch()

上的

a.com

请求是从具有

type="module"

的脚本发出的

const res = await fetch("https://b.com", {
  headers: { "Accept": "application/json" },
  credentials: "include",
});

后端返回带有适当 CORS 标头的响应。即

access-control-allow-credentials: true
access-control-allow-methods: GET
access-control-allow-origin: https://a.com

尽管如此，会话 cookie 并未包含在

fetch()

请求中，因此，身份验证不起作用。

我错过了什么？