如何通过设置 proxy_cookie_domain 参数有效解决跨域请求中后端 Cookie 域名不匹配问题？

本文共计666个文字，预计阅读时间需要3分钟。

直接使用 `` 标签，不要尝试图解问题，不要使用数字，不超过100字，直接输出结果：

确认是否真需要 proxy_cookie_domain

不是所有代理场景都需要它。只有当后端响应中明确设置了 Domain=xxx，且该值与用户当前访问的前端域名不兼容时，才必须启用。

• 后端返回 Set-Cookie: sid=123; Domain=api.example.com，而用户打开的是 shop.example.com → 浏览器拒绝存，需替换
• 后端返回 Set-Cookie: sid=123（没设 Domain）→ 浏览器按响应头 Host 自动推导 Domain，此时若 Host 是内网地址（如 10.0.1.5），仍会失效，也需干预
• 后端压根没返回 Set-Cookie，或返回的 Cookie 已带 Domain=.example.com → 通常无需配置

基础静态替换写法

适用于后端 Domain 值固定、可预知的场景。指令必须放在 location 块内，且在 proxy_pass 之后。

• 把 Domain=backend.local 改成 Domain=.example.com：
  proxy_cookie_domain backend.local .example.com;
• 把 Domain=192.168.1.20 改为通配子域格式：
  proxy_cookie_domain 192.168.1.20 .example.com;
• 注意点号不能省：写 .example.com 表示允许所有子域读取；写 example.com（无点）则只精确匹配该域名

正则匹配应对模糊或动态域名

当后端可能返回 Domain=api.example.com、Domain=.api.example.com、甚至 Domain=localhost 时，静态替换容易漏掉。用正则可一次覆盖多种格式：

• 统一收口到主域：
  proxy_cookie_domain ~\.?api\.example\.com .example.com;
• 清空原有 Domain 并强制设为指定值（适合后端未设 Domain 或设错）：
  proxy_cookie_domain "" .example.com;
• 匹配带端口的 upstream：
  proxy_cookie_domain ~\b192\.168\.1\.20:8080\b .example.com;

必须同步配置的配套项

proxy_cookie_domain 单独启用无法让 Cookie 正常跨域工作，还需满足以下条件：

• 后端响应头含 Access-Control-Allow-Origin: https://example.com（不能是 *）
• 后端响应头含 Access-Control-Allow-Credentials: true
• 前端请求开启凭据：fetch(url, { credentials: 'include' }) 或 xhr.withCredentials = true
• Cookie 自身需带 Secure（HTTPS 环境下强制）和 SameSite=None（Chrome 80+ 要求）