使用Express与Netlify代理重定向无法为子域设置Cookie

以下是针对你遇到的本地正常、生产环境缺失Set-Cookie头问题的核心排查点和解决思路：

• Express未信任反向代理导致HTTPS识别错误
  你的Node.js服务部署在Caddy反向代理后，默认情况下Express不会信任X-Forwarded-Proto等代理头，会误判当前请求为HTTP协议。而你的express-session配置中，生产环境下secure设为true——该选项要求Cookie仅在HTTPS请求中生成，若Express认为当前是HTTP，就不会输出Set-Cookie头。
  解决方法：在Express应用初始化时添加信任代理配置：

  app.set('trust proxy', true);
  

  此配置会让Express识别Caddy传递的X-Forwarded-Proto头，正确判断请求为HTTPS，从而生成符合要求的Cookie。

• Netlify代理转发可能丢失Set-Cookie头
  你使用Netlify的200重定向（代理模式）转发请求到API，但Netlify默认可能不会完整传递Set-Cookie头，尤其是当Cookie的Domain设置为.example.com时。虽然你配置了Access-Control-Expose-Headers: Set-Cookie，但该头仅用于AJAX请求让前端读取响应头，而Cookie的设置是浏览器自动处理的，无需前端介入。
  验证方法：直接访问https://api.example.com/auth/callback?code=xxx，查看响应是否包含Set-Cookie头。若存在，说明问题出在Netlify的代理转发环节。
  解决方法：修改Netlify重定向配置，确保保留Set-Cookie头。可尝试在[[redirects]]的headers中添加Set-Cookie的传递规则，或改用Netlify专属的proxy配置（若适用）。同时通过浏览器开发者工具查看/api/auth/callback的响应头，确认Netlify是否转发了Set-Cookie。

• Cookie的Domain配置兼容性问题
  你设置的domain: ".example.com"在部分浏览器中可能存在严格的校验规则，尤其是请求来自app.example.com子域名时。本地环境因可能是同域或localhost，浏览器对Cookie的处理更宽松，所以表现正常。
  测试方法：暂时将domain改为app.example.com，观察是否能生成Set-Cookie头，以此排除Domain配置的问题。

• Caddy反向代理的头传递验证
  检查Caddy是否正确传递了API返回的Set-Cookie头。当前配置中header_down仅添加了Strict-Transport-Security，理论上不会影响Set-Cookie，但可通过日志进一步验证：
  修改Caddy日志配置，添加响应头日志：

  log {
    output stdout
    format console
    level INFO
    include_headers [Set-Cookie]
  }
  

  查看日志即可确认Caddy转发给Netlify的响应中是否包含Set-Cookie头。

内容的提问来源于stack exchange，提问作者Funsaized