使用Nginx Ingress子请求认证时多Cookie无法全部转发的问题排查

我之前也碰到过一模一样的问题！这是因为Nginx Ingress在处理auth-url子请求的响应时，默认只会提取第一个Set-Cookie响应头，所以你的第二个Cookiex=y就被丢弃了。下面是两种可行的解决方法，亲测有效：

方法一：通过Ingress注解指定传递所有Set-Cookie头 #

最简单的方式是添加auth-response-headers注解，明确告诉Ingress要传递Set-Cookie（以及你的UserId头），Ingress会自动处理多个Set-Cookie值的转发：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: your-app-ingress
  annotations:
    nginx.ingress.kubernetes.io/auth-url: http://auth.dev.svc.cluster.local
    # 明确指定要转发的响应头，包含Set-Cookie和UserId
    nginx.ingress.kubernetes.io/auth-response-headers: "UserId,Set-Cookie"
    # 可选：如果你的认证服务需要读取原始请求的Cookie，加上这个
    nginx.ingress.kubernetes.io/auth-snippet: |
      proxy_set_header Cookie $http_cookie;
spec:
  rules:
  - host: your-domain.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: your-target-service
            port:
              number: 80

这个方法适用于大多数场景，只要你的Ingress Controller版本在v0.27.0以上（现在主流版本都满足），就能自动处理多个Set-Cookie头的转发。

方法二：自定义Nginx配置片段强制收集所有Set-Cookie #

如果方法一不生效（比如某些旧版本Ingress Controller），可以通过auth-snippet注解添加自定义Nginx配置，用more_set_headers模块强制收集所有上游返回的Set-Cookie头：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: your-app-ingress
  annotations:
    nginx.ingress.kubernetes.io/auth-url: http://auth.dev.svc.cluster.local
    nginx.ingress.kubernetes.io/auth-response-headers: "UserId,Set-Cookie"
    nginx.ingress.kubernetes.io/auth-snippet: |
      # 收集上游auth服务返回的所有Set-Cookie头
      more_set_headers -s "Set-Cookie: $upstream_http_set_cookie";
      # 传递原始请求的Cookie到auth服务（如果需要的话）
      proxy_set_header Cookie $http_cookie;
spec:
  rules:
  - host: your-domain.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: your-target-service
            port:
              number: 80

补充说明 #

• 官方的Nginx Ingress Controller默认包含ngx_http_headers_more_filter_module模块，所以more_set_headers指令可以直接使用，不需要额外编译。
• 你的Nest.js代码是没问题的：两次res.cookie()调用会生成两个独立的Set-Cookie响应头，这符合HTTP规范，所以不需要修改服务端代码。

配置完成后，重新应用Ingress资源，再测试就能看到两个Cookie都被正常转发了！

内容的提问来源于stack exchange，提问作者yisog