AWS部署后端：res.cookie生成的Token无法与前端协同工作

可能的原因及对应解决步骤 #

1. CORS配置未正确允许跨域凭证 #

Express后端的CORS设置必须明确指定前端域名，并且开启credentials: true，否则浏览器会阻止携带Cookie的跨域请求。

• 解决：修改CORS中间件配置，替换为你的前端实际域名：

const cors = require('cors');
app.use(cors({
  origin: 'https://your-frontend-domain.com', // 替换为前端部署的真实域名
  credentials: true
}));

注意：origin不能设为*，必须是具体的前端域名，否则credentials: true会直接失效。

2. Cookie未设置正确的Domain属性 #

部署后前后端域名不同（比如前端是app.example.com，后端是api.example.com），如果Cookie没有指定domain，浏览器只会在后端域名下发送Cookie，前端发起请求时不会携带。

• 解决：在res.cookie中添加domain属性，根据你的域名结构调整：

res.cookie("token", token, {
  maxAge: 15 * 24 * 60 * 60 * 1000,
  httpOnly: true,
  sameSite: "none",
  secure: true,
  domain: ".example.com" // 适配同一顶级域名下的所有子域名
});

如果前后端是完全独立的域名，需确保后端域名已被前端域名的跨域策略允许（参考第一条CORS配置）。

3. Express未信任AWS代理导致HTTPS识别错误 #

如果EC2实例前部署了AWS应用负载均衡（ALB），ALB会以HTTP协议转发请求到EC2，Express默认会判定请求为HTTP环境，导致secure: true的Cookie被浏览器拒绝（浏览器仅允许HTTPS环境下发送secure Cookie）。

• 解决：在Express中开启信任代理配置：

app.set('trust proxy', true);

开启后Express会读取ALB转发的X-Forwarded-Proto头，正确识别请求的实际协议为HTTPS，保证secure Cookie正常生效。

4. 浏览器端验证步骤 #

先通过浏览器开发者工具确认两个核心点：

• 打开Application标签 → Cookies，查看后端域名下是否存在token Cookie，检查其Domain、Secure、SameSite属性是否与设置一致。
• 打开Network标签，查看后续API请求的Request Headers，确认是否包含Cookie: token=xxx字段：
  • 若Cookie未存储：检查Domain、Secure设置是否正确，以及后端响应头中是否返回了Set-Cookie。
  • 若Cookie已存储但未发送：检查CORS的credentials配置是否正确，SameSite是否为none且Secure为true。

总结 #

按上述步骤逐一排查，优先检查CORS配置和Cookie的Domain属性，这是部署环境跨域Cookie失效的最常见诱因。

内容的提问来源于stack exchange，提问作者user26712502