如何通过Nginx auth_module正确代理多个Set-Cookie响应头？

你的核心问题是Nginx将认证API返回的多个Set-Cookie头合并为单个逗号分隔的字符串，导致浏览器只能解析第一个Cookie。以下是无需绑定Cookie名称的解决方案：

问题根源 #

Nginx的$upstream_http_set_cookie变量会自动将多个同名响应头合并为逗号分隔的字符串，但浏览器要求每个Cookie对应独立的Set-Cookie响应头，合并后的格式不符合浏览器解析规则。

解决方案1：利用Nginx数组变量（适用于Nginx 1.17.10+） #

从Nginx 1.17.10开始，支持$upstream_http_set_cookie_N形式的数组变量，每个变量对应一个独立的Set-Cookie头。你可以预先定义足够多的索引来覆盖可能的Cookie数量：

auth_request /internal-auth;

# 捕获认证API返回的每个Set-Cookie头
auth_request_set $auth_cookie_1 $upstream_http_set_cookie_1;
auth_request_set $auth_cookie_2 $upstream_http_set_cookie_2;
auth_request_set $auth_cookie_3 $upstream_http_set_cookie_3;
# 根据实际需求增加更多索引

# 向客户端输出独立的Set-Cookie头（仅输出非空的）
add_header Set-Cookie $auth_cookie_1 if=$auth_cookie_1;
add_header Set-Cookie $auth_cookie_2 if=$auth_cookie_2;
add_header Set-Cookie $auth_cookie_3 if=$auth_cookie_3;

# 转发Set-Cookie到下一级服务器（同样逐个添加）
proxy_set_header Set-Cookie $auth_cookie_1 if=$auth_cookie_1;
proxy_set_header Set-Cookie $auth_cookie_2 if=$auth_cookie_2;
proxy_set_header Set-Cookie $auth_cookie_3 if=$auth_cookie_3;

# 处理Authorization头（纠正原配置的拼写错误）
auth_request_set $auth_header $upstream_http_authorization;
add_header Authorization $auth_header;
proxy_set_header Authorization $auth_header;

注意：此方案需要预先预估Cookie数量，如果认证API返回的Cookie超过定义的索引数，超出部分会丢失。

解决方案2：使用Lua模块（灵活无数量限制，推荐） #

通过OpenResty的Lua模块可以动态捕获所有Set-Cookie头，无需预先定义数量，也不会受Cookie值中逗号的影响。

步骤1：配置认证子请求的location #

首先在/internal-auth的location中捕获所有Set-Cookie头并存储到上下文：

location /internal-auth {
    proxy_pass http://your-auth-api-address; # 替换为你的认证API地址
    header_filter_by_lua_block {
        local cookies = ngx.resp.get_headers()["Set-Cookie"]
        if cookies then
            -- 处理单个/多个Cookie的情况
            if type(cookies) == "string" then
                ngx.ctx.auth_cookies = {cookies}
            else
                ngx.ctx.auth_cookies = cookies
            end
        end
    }
}

步骤2：主请求配置 #

在主请求的location中，从上下文读取Cookie并添加到响应头，同时转发到下一级服务器：

location /your-main-path {
    auth_request /internal-auth;

    # 向客户端输出所有独立的Set-Cookie头
    header_filter_by_lua_block {
        local cookies = ngx.ctx.auth_cookies
        if cookies then
            ngx.header["Set-Cookie"] = ngx.header["Set-Cookie"] or {}
            for _, cookie in ipairs(cookies) do
                table.insert(ngx.header["Set-Cookie"], cookie)
            end
        end
    }

    # 转发Set-Cookie到下一级服务器
    # 若下一级需要多个独立的Set-Cookie请求头，使用循环逐个添加；否则合并为单个字符串
    proxy_set_header_by_lua_block {
        local cookies = ngx.ctx.auth_cookies
        if cookies then
            -- 合并为单个字符串（适合大多数场景）
            local cookie_str = table.concat(cookies, ", ")
            ngx.req.set_header("Set-Cookie", cookie_str)
            
            -- 若需多个独立请求头，替换为以下代码：
            -- for _, cookie in ipairs(cookies) do
            --     ngx.req.set_header("Set-Cookie", cookie)
            -- end
        end
    }

    # 处理Authorization头
    auth_request_set $auth_header $upstream_http_authorization;
    add_header Authorization $auth_header;
    proxy_set_header Authorization $auth_header;

    # 其他代理配置
    proxy_pass http://your-upstream-server; # 替换为你的下一级服务器地址
}

说明：此方案完全无需绑定Cookie名称，可自适应任意数量的Cookie，且能正确处理Cookie值中包含逗号的场景。

额外纠正 #

原配置中存在拼写错误：Authrozaiton应改为Authorization，否则该头无法正确传递。

内容的提问来源于stack exchange，提问作者JkLSweetMint