CDK构建CloudFront分发时Set-Cookie头被拦截的配置求助

一、配置Origin Request Policy传递请求Cookie到源 #

CloudFront默认不会将请求中的Cookie头转发给源站，需创建自定义源请求策略明确允许：

import { OriginRequestPolicy, OriginRequestCookieBehavior } from 'aws-cdk-lib/aws-cloudfront';

// 创建允许所有Cookie传递到源的自定义策略
const allowAllCookiesOriginPolicy = new OriginRequestPolicy(this, 'AllowAllCookiesOriginPolicy', {
  originRequestPolicyName: 'AllowAllCookies',
  cookies: OriginRequestCookieBehavior.all(),
  // 按需配置需要传递的其他请求头或查询字符串
});

// 关联到CloudFront分发的默认行为
const distribution = new Distribution(this, 'WebDistribution', {
  defaultBehavior: {
    origin: new HttpOrigin('<你的API Gateway域名>'),
    originRequestPolicy: allowAllCookiesOriginPolicy,
    // 其他基础配置（如HTTPS跳转）
  }
});

二、配置缓存策略允许Set-Cookie响应头并禁用缓存 #

带Set-Cookie的响应不能被缓存（否则会导致会话冲突），同时需确保CloudFront将该头传递给浏览器：

方案1：自定义缓存策略 #

import { CachePolicy, CacheHeaderBehavior } from 'aws-cdk-lib/aws-cloudfront';

const noCacheSetCookiePolicy = new CachePolicy(this, 'NoCacheSetCookiePolicy', {
  cachePolicyName: 'NoCacheWithSetCookie',
  defaultTtl: Duration.seconds(0),
  minTtl: Duration.seconds(0),
  maxTtl: Duration.seconds(0),
  headers: CacheHeaderBehavior.allowList('Set-Cookie'), // 允许Set-Cookie透传
  cookies: CacheCookieBehavior.none(), // 无需基于Cookie缓存
});

// 关联到分发行为
const distribution = new Distribution(this, 'WebDistribution', {
  defaultBehavior: {
    origin: new HttpOrigin('<你的API Gateway域名>'),
    originRequestPolicy: allowAllCookiesOriginPolicy,
    cachePolicy: noCacheSetCookiePolicy,
    viewerProtocolPolicy: ViewerProtocolPolicy.REDIRECT_TO_HTTPS // 强制HTTPS，适配Secure Cookie
  }
});

方案2：让Lambda返回缓存控制头 #

如果不想修改CloudFront缓存策略，可在Lambda响应中添加Cache-Control头，强制CloudFront不缓存：

exports.handler = async (event) => {
  return {
    statusCode: 200,
    headers: {
      'Set-Cookie': 'sessionId=xxx; HttpOnly; Secure; SameSite=Lax',
      'Cache-Control': 'no-cache, no-store, must-revalidate'
    },
    body: JSON.stringify({ data: 'content' })
  };
};

三、验证方法 #

1. 部署CDK栈后，通过CloudFront域名访问应用
2. 打开浏览器开发者工具，查看响应头确认Set-Cookie存在
3. 查看后续请求的请求头，确认Cookie已被发送到CloudFront

注意事项 #

• Cookie需设置Secure属性（HTTPS环境下），否则浏览器不会保存
• 会话Cookie建议添加HttpOnly属性，降低XSS风险
• 绝对不能缓存带Set-Cookie的响应，避免用户会话串用

内容的提问来源于stack exchange，提问作者Mercury