Node.js中JWT认证Cookie存储失败：域名无效及307重定向问题

问题现象 #

在Node.js应用中通过Cookie存储JWT令牌实现认证时，API返回200状态码，但浏览器未存储Cookie，同时出现报错：

"This attempt to set a cookie via the Set-Cookie header was blocked because its domain attribute was invalid with regards to the current host URL."
此外还存在307 Temporary Redirect错误。

错误原因分析 #

1. Domain属性配置不当：显式设置domain: "localhost"会导致部分浏览器拒绝存储Cookie，因为localhost属于特殊域名，浏览器对其domain属性的处理规则不同，多数情况下无需手动设置，让浏览器自动匹配当前域名即可。
2. Secure属性与本地环境不兼容：本地开发通常使用HTTP协议，但secure: true要求Cookie只能在HTTPS连接下传输，HTTP环境下浏览器会直接忽略该Cookie。
3. MaxAge计算错误：当前代码中maxAge: 3 * 24 * 60 * 100计算结果为12分钟（720000毫秒），并非预期的3天，时间单位换算错误。
4. 307重定向的影响：如果请求发生了307临时重定向，Set-Cookie头可能在重定向过程中丢失，或者浏览器因域名不一致拒绝处理Cookie。

修复方案 #

针对上述问题，修改认证API代码如下：

try {
    const { email, password } = req.body;
    if (!email || !password) {
      res.status(400);
      throw new Error("所有字段均为必填项");
    }

    const admin = await SuperAdmin.find({ email });
    if (admin.length === 0) {
      res.status(400);
      throw new Error("邮箱或密码无效");
    }

    if (admin && (await bcrypt.compare(password, admin[0].password))) {
      const accessToken = jwt.sign(
        {
          admin: {
            _id: admin[0]._id,
          },
        },
        process.env.JWT_KEY,
        { expiresIn: "1d" }
      );

      // 根据环境动态配置Cookie参数
      const isProduction = process.env.NODE_ENV === "production";
      res.cookie("token", accessToken, {
        httpOnly: true,
        // 开发环境不设置domain，生产环境设置实际域名
        ...(isProduction && { domain: "your-production-domain.com" }),
        secure: isProduction, // 生产环境启用secure，开发环境禁用
        sameSite: "Lax",
        maxAge: 3 * 24 * 60 * 60 * 1000, // 修正为3天的毫秒数
      });

      res.status(200).json({ message: "登录成功" });
    } else {
      res.status(400);
      throw new Error("邮箱或密码无效");
    }
  } catch (error) {
    res.status(400).json({ message: error.message });
  }

额外注意事项 #

• 检查应用路由配置，确保认证接口没有被意外重定向（比如HTTP自动跳转到HTTPS，或者路由路径拼写错误导致的重定向），避免307重定向影响Cookie设置。
• 本地开发时，若使用localhost以外的域名（如自定义本地域名），可根据实际情况设置domain属性，但需保证与请求域名一致。

内容的提问来源于stack exchange，提问作者Abdur Rehman Khalid