Firebase代理剥离请求Cookie问题求助

核心问题分析 #

你当前通过Firebase Hosting的rewrite规则将/api/**请求转发到Cloud Functions，但Cookie无法正常设置和传递，主要原因可能是Cookie属性配置不当或Firebase代理转发时的头信息处理问题。以下是具体的解决步骤：

步骤1：调整Cookie设置属性 #

修改后端设置Cookie的代码，适配同一域名下的请求场景：

// Verify the token using Firebase Admin SDK
auth
    .verifyIdToken(idToken)
    .then((decodedToken) => {
        const uid = decodedToken.uid;

        try {
            res.cookie("auth-token", idToken, {
                httpOnly: true,
                secure: process.env.NODE_ENV === 'production', // 生产环境强制HTTPS
                sameSite: "Lax", // 同一域名下用Lax足够安全，避免被浏览器拦截
                path: "/", // 确保Cookie对所有路径生效
                // 若前后端在同一主域名的不同子域，可设置为".mydomain.com"，否则去掉该配置
                // domain: ".mydomain.com",
            });
            res.status(200).json({status: "success", uid});
        } catch (cookieError) {
            console.log(cookieError);
            return res.status(500).json({
                status: "error",
                message: "Failed to set authentication cookie.",
            });
        }
    })
    .catch((verifyError) => {
        return res.status(401).json({status: "error", message: "Invalid token"});
    });

步骤2：配置Express中间件确保Cookie解析 #

在你的Express后端中启用cookie-parser中间件，确保能正确读取请求中的Cookie：

const express = require('express');
const cookieParser = require('cookie-parser');
const app = express();

// 启用Cookie解析
app.use(cookieParser());

// 后续的路由和鉴权中间件
app.use('/api', yourAuthMiddleware, yourRoutes);

步骤3：检查CORS配置（若存在） #

如果之前配置了CORS中间件，确保允许携带凭证：

const cors = require('cors');
app.use(cors({
    origin: true, // 生产环境建议指定具体前端域名
    credentials: true // 允许携带Cookie等凭证
}));

步骤4：验证Firebase Hosting配置 #

你的firebase.json配置基本正确，需确认：

• functions的source路径正确指向后端代码目录
• 无需额外配置保留Cookie，Firebase Hosting默认会将请求头（包括Cookie）转发到Cloud Functions

调试方法 #

1. 打开Chrome DevTools的Network面板，查看登录请求的Set-Cookie响应头，确认属性符合预期
2. 查看后续/api/**请求的Cookie请求头，确认auth-token是否被携带
3. 在后端鉴权中间件中打印req.cookies，验证Cookie是否被正确接收：

const yourAuthMiddleware = (req, res, next) => {
    console.log("Received cookies:", req.cookies);
    // 后续鉴权逻辑
    next();
};

为什么之前的方案无效？ #

• 方案1：api.mydomain.com和www.mydomain.com属于跨子域，需将Cookie的domain设为.mydomain.com，同时sameSite设为None并开启secure，但Safari对第三方Cookie限制严格，仍可能被拦截
• 方案2：重定向设置Cookie的方式会被浏览器视为第三方Cookie操作，受安全策略限制无法生效

内容的提问来源于stack exchange，提问作者lamb p