Docker中ASP.NET Web API的Http Cookie无法被浏览器存储问题排查

针对你遇到的跨域Cookie无法存储的问题，结合你的技术栈（ASP.NET API + React + NGINX + Docker），可以从以下几个关键配置点逐一修正：

1. 调整Cookie的Domain配置 #

当前你设置的Domain为auth.praxeosu.local，但前端部署在主域praxeosu.local，若要让Cookie在主域和子域间共享，需将Domain设为.praxeosu.local（前缀带点），这样主域及所有子域都能访问该Cookie。同时保留符合跨域要求的其他属性：

var cookieOptions = new CookieOptions
{
    HttpOnly = true,
    Secure = true,
    SameSite = SameSiteMode.None,
    IsEssential = true,
    Expires = DateTime.UtcNow.AddHours(3),
    Domain = ".praxeosu.local" // 主域前缀，支持主域与子域共享Cookie
};

2. 配置ASP.NET信任反向代理（NGINX） #

由于API通过NGINX反向代理对外提供HTTPS服务，ASP.NET需要识别真实的请求协议，否则会误判为HTTP，导致Secure Cookie不生效。在Program.cs中添加转发头配置：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 信任Docker默认网关地址，可根据你的容器网段调整
    options.KnownProxies.Add(IPAddress.Parse("172.17.0.1"));
});

// 必须在UseRouting之前启用转发头
app.UseForwardedHeaders();

3. 修正NGINX代理的Cookie传递规则 #

在auth.praxeosu.local的server块中，添加Cookie代理配置，确保Cookie的Domain、Secure属性正确传递：

server {
    listen 443 ssl http2;
    server_name auth.praxeosu.local;

    ssl_certificate /etc/nginx/ssl/praxeosu.local.crt;
    ssl_certificate_key /etc/nginx/ssl/private/praxeosu.local.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256";

    location / {
        proxy_pass https://authorizationservice:5001;
        proxy_set_header Host auth.praxeosu.local;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # 将Cookie的Domain转换为主域前缀
        proxy_cookie_domain auth.praxeosu.local .praxeosu.local;
        # 确保Cookie路径正确
        proxy_cookie_path / /;
        # 强制Cookie携带Secure属性
        proxy_cookie_flags ~ secure;
    }
}

4. 精简CORS配置 #

确保CORS的WithOrigins只包含前端实际运行的地址（https://praxeosu.local，443端口无需额外指定），避免多余地址导致匹配异常：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll",
        builder => builder.AllowAnyMethod()
                            .WithOrigins("https://praxeosu.local")
                            .AllowAnyHeader()
                            .AllowCredentials());
});

同时确保在中间件管道中正确应用该策略：在app.UseRouting()之后、app.UseAuthorization()之前添加app.UseCors("AllowAll");。

5. 验证自签名证书覆盖所有域名 #

确认你的自签名证书包含praxeosu.local和auth.praxeosu.local两个域名（通过SAN扩展），若证书仅包含单个域名，浏览器会隐性拒绝跨域Cookie。可通过以下命令重新生成证书：

openssl req -x509 -newkey rsa:4096 -sha256 -days 365 -nodes \
  -keyout praxeosu.local.key -out praxeosu.local.crt \
  -subj "/CN=praxeosu.local" \
  -addext "subjectAltName=DNS:praxeosu.local,DNS:auth.praxeosu.local"

内容的提问来源于stack exchange，提问作者Vachtar