通过NGINX拦截上游响应Cookie并生成新Cookie的配置咨询

当然可以实现！NGINX的模块刚好支持修改响应头里的Cookie信息，下面我给你两种可行的配置方案，还有详细说明，你可以根据实际需求选择：

方案一：用Lua脚本精准生成新的SID Cookie（推荐，灵活度高） #

这种方式能精准提取上游返回的KEYCLOAK_SESSION Cookie值，然后生成一个域为.example.com的新SID Cookie。需要你的NGINX支持Lua模块（推荐用OpenResty，默认已经集成了所有必要模块；如果是标准NGINX，需要编译时加入ngx_http_lua_module）。

具体配置示例：

server {
    listen 80;
    server_name your-app.example.com; # 替换成你的实际应用域名

    location / {
        # 代理到上游SSO服务
        proxy_pass https://sso.example.com;
        # 传递必要的请求头给上游
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # 开启Lua头过滤，处理Cookie
        header_filter_by_lua_block {
            # 获取上游响应的所有Set-Cookie头
            local cookies = ngx.resp.get_headers()["Set-Cookie"]
            if not cookies then return end

            # 处理单个Cookie的情况（Set-Cookie可能是字符串或数组）
            if type(cookies) == "string" then
                cookies = {cookies}
            end

            # 遍历所有Cookie，查找KEYCLOAK_SESSION
            for _, cookie in ipairs(cookies) do
                local session_value = cookie:match("KEYCLOAK_SESSION=([^;]+)")
                if session_value then
                    # 准备添加新的SID Cookie
                    ngx.header["Set-Cookie"] = ngx.header["Set-Cookie"] or {}
                    # 这里可以根据需求调整Cookie的安全属性，比如加Secure（HTTPS环境）
                    local new_cookie = string.format("SID=%s; Domain=.example.com; Path=/; HttpOnly; SameSite=Lax", session_value)
                    table.insert(ngx.header["Set-Cookie"], new_cookie)
                end
            end
        }
    }
}

方案二：用原生指令修改原Cookie的域名（简化版） #

如果你不需要保留KEYCLOAK_SESSION这个Cookie，只想把它的域名改成.example.com，可以用NGINX原生的proxy_cookie_domain指令，这种方式不需要Lua模块，配置更简单：

server {
    listen 80;
    server_name your-app.example.com;

    location / {
        proxy_pass https://sso.example.com;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # 将上游返回的Cookie域名从sso.example.com改为.example.com
        proxy_cookie_domain sso.example.com .example.com;
        # 如果需要同时修改Cookie名称，还可以用正则匹配调整：
        # proxy_cookie_path ~*KEYCLOAK_SESSION=(.*) SID=$1; Domain=.example.com; Path=/;
    }
}

注意事项 #

• 测试配置时，可以用curl -v https://your-app.example.com查看响应头，确认SID Cookie是否正确生成，域名是否为.example.com。
• 如果是HTTPS环境，建议给Cookie加上Secure属性，确保只在HTTPS连接中传输。
• 若使用标准NGINX且没有Lua模块，优先选择方案二；需要生成新Cookie而非修改原Cookie的话，推荐用OpenResty来避免复杂的编译操作。

备注：内容来源于stack exchange，提问作者alexanoid