如何通过REST API Gateway非代理集成从Lambda返回自定义Set-Cookie头

常见原因 #

• CORS配置缺失或不正确：跨域请求时，浏览器要求服务器明确允许set-cookie头暴露给客户端，若未配置Access-Control-Expose-Headers包含该头，或未开启Access-Control-Allow-Credentials，浏览器会拦截该头。
• Integration Response映射错误：非代理集成模式下，Lambda返回的头需要通过映射规则关联到Method Response的头，若映射表达式未正确指向Lambda返回的set-cookie值，API Gateway无法传递该头。
• Cookie属性不符合浏览器要求：未设置Path、Domain等必要属性，或在HTTPS环境下未添加Secure属性，跨域场景下未配置SameSite=None，浏览器会拒绝接收Cookie。

解决步骤 #

• 配置正确的CORS规则
  在API Gateway对应资源的CORS设置中：

  • 勾选「Enable Access-Control-Allow-Credentials」
  • 在「Expose Headers」中添加set-cookie
    这样浏览器才会允许客户端获取到set-cookie头。

• 修正Integration Response映射
  在对应状态码的Integration Response头映射里，将set-cookie的映射值设为$input.path('$.headers.set-cookie')，确保API Gateway能正确从Lambda返回的结构中提取该头的值。同时确认Method Response已添加set-cookie头定义。

• 调整Cookie属性
  修改Lambda代码中的set-cookie值，补充必要属性，示例：

  return {
    statusCode: 200,
    headers: {
      "Content-type": "application/json",
      "set-cookie": "please-work; Path=/; Domain=your-domain.com; Secure; SameSite=None"
    },
    body: JSON.stringify(response)
  };
  

  根据实际环境调整：本地HTTP测试可去掉Secure，生产HTTPS环境必须保留；Domain设为你的实际域名，跨域场景下SameSite需设为None（同时搭配Secure）。

内容的提问来源于stack exchange，提问作者Mercury