部署GCP后POST请求缺失Cookie头，GET请求正常的问题排查

我有一个以NextJS为前端、NestJS为后端的应用，请求流程为：NextJS -> Axios -> NestJS。

NextJS客户端组件代码：

axios.post('/transactions', {...payload});

axios.ts配置：

let instance = axios.create(defaultOptions);

// Set the AUTH token for any request
instance.interceptors.request.use(async function (config) {
  const accessToken = await getCookie("accessToken");
  config.headers.Cookie = `accessToken=${accessToken}`;
  return config;
});
...

NestJS的main.ts跨域配置：

app.enableCors({
    origin: 'http://localhost:3000',
    credentials: true,
  });

将后端部署到GCP（域名采用HTTPS）后，从前端（localhost:3000）向该后端发送POST请求时，请求头中缺失Cookie字段，但GET请求的Cookie头正常。若请求本地后端（localhost:3001），POST请求的Cookie头能正常携带。请问该问题的可能原因是什么？

可能原因分析 #

1. 浏览器混合内容安全限制 #

localhost:3000是HTTP协议，GCP后端是HTTPS，属于混合内容场景。浏览器对混合内容下的POST请求限制更严格，会自动移除Cookie这类敏感请求头；而GET请求因浏览器宽松策略可能被允许通过。

验证方式：打开浏览器开发者工具Console面板，查看是否存在混合内容相关警告（如“Mixed Content: The page at 'http://localhost:3000' was loaded over HTTP, but requested an insecure resource...”）。

2. Axios未开启withCredentials #

NestJS已配置credentials: true，但如果Axios实例未显式设置withCredentials: true，HTTPS跨域场景下POST请求无法正确携带Cookie。本地HTTP环境浏览器限制较弱，因此不受影响。

检查点：确认Axios创建实例的defaultOptions中是否包含withCredentials: true，若没有则添加，或在请求拦截器中设置config.withCredentials = true。

3. GCP中间层过滤Cookie #

如果后端使用GCP负载均衡或CDN，这些服务可能默认过滤POST请求头中的Cookie。本地环境无中间层，因此请求正常。

验证方式：直接访问后端实例IP（绕过负载均衡/CDN）发送POST请求，若Cookie能正常携带，即可确认是中间层配置问题。

解决方向：在GCP负载均衡的后端服务配置中允许传递Cookie头；若使用CDN，调整缓存规则排除POST请求的Cookie过滤。

4. Cookie的Secure属性冲突 #

如果accessTokenCookie被设置了Secure属性（仅允许HTTPS传输），前端HTTP环境下浏览器会拒绝将该Cookie添加到HTTPS请求头中。GET请求可能因浏览器宽松策略通过，但POST请求严格遵循规则。

验证方式：在浏览器开发者工具Application面板，查看accessTokenCookie的属性是否包含Secure标记。

解决方向：前端切换为HTTPS模式启动，或在开发环境临时移除Cookie的Secure属性（生产环境必须保留）。

5. NestJS CORS未显式允许Cookie头 #

虽然配置了credentials: true，但如果CORS的allowedHeaders未包含Cookie，浏览器在预检请求通过后，会在实际POST请求中移除该头。本地环境浏览器可能跳过部分预检检查，但HTTPS跨域时会严格执行。

更新NestJS CORS配置：

app.enableCors({
    origin: 'http://localhost:3000',
    credentials: true,
    allowedHeaders: ['Content-Type', 'Cookie'],
    exposedHeaders: ['Cookie'], // 若需响应中返回Cookie也需添加
  });

内容的提问来源于stack exchange，提问作者CCCC