Django+Next.js多租户自定义域名下第三方Cookie兼容问题咨询

核心问题 #

前端自定义域名与后端域名不一致，导致Session Cookie被浏览器标记为第三方Cookie，Chrome隐身模式默认拦截此类Cookie，引发业务流程中断。

现有系统可直接调整的方案（无需大量开发） #

1. 配置Cookie的SameSite与Secure属性 #

通过修改Django的Session Cookie配置，让浏览器允许跨域携带Cookie：

# settings.py
SESSION_COOKIE_SAMESITE = 'None'  # 允许跨域发送Cookie
SESSION_COOKIE_SECURE = True      # 强制HTTPS传输，SameSite=None必须搭配此属性
SESSION_COOKIE_HTTPONLY = True    # 保留HTTPOnly属性，提升Cookie安全性

同时前端Next.js在发起跨域请求时，必须开启凭证携带：

// 示例：fetch请求
fetch('https://your-django-backend-domain.com/api/xxx', {
  credentials: 'include',
  // 其他请求配置
})

2. 配置CORS允许跨域凭证 #

使用django-cors-headers库配置后端，允许前端自定义域名的跨域请求携带Cookie：

# settings.py
CORS_ALLOW_CREDENTIALS = True
CORS_ALLOWED_ORIGINS = [
    "https://your-custom-frontend-domain.com",  # 替换为实际前端域名
]

3. 统一域名体系（若可行） #

如果前端自定义域名可以调整为后端的子域名（如后端为api.example.com，前端为app.example.com），可设置Cookie的Domain属性为根域名，让Cookie被视为同站：

# settings.py
SESSION_COOKIE_DOMAIN = '.example.com'  # 根域名，覆盖所有子域
SESSION_COOKIE_SAMESITE = 'Lax'         # 同站场景下Lax属性更安全，兼容性更好

需额外开发的替代方案（上述方案不可行时） #

1. 用Token替代Session Cookie #

将Session机制替换为JWT或自定义Token，前端将Token存储在localStorage/sessionStorage中，每次请求通过Header携带：

• Django端可使用djangorestframework-simplejwt实现Token生成与验证；
• 前端请求示例：

fetch('https://your-django-backend-domain.com/api/xxx', {
  headers: {
    'Authorization': `Bearer ${localStorage.getItem('authToken')}`
  }
})

2. 后端代理前端API请求 #

将Next.js的API请求通过后端域名代理转发，让Cookie始终处于同站环境。此方案会损失前端自定义域名的灵活性，需根据业务场景权衡。

内容的提问来源于stack exchange，提问作者chaha0s