oauth2-proxy跨子域配置异常：无法获取CSRF Cookie

针对你遇到的子域应用登录时的CSRF Token错误问题，结合配置细节和现象（隐私模式正常、普通模式需二次登录），核心是Cookie跨域配置冲突及CSRF校验逻辑的细节缺失，以下是具体的配置调整方案：

1. 恢复并确认redirect_url配置 #

不要移除redirect_url，OIDC提供商（ZITADEL）的回调地址必须与oauth2-proxy的redirect_url完全一致，否则会导致授权流程中的状态校验异常。确保ZITADEL后台已将https://oauth2.example.com/oauth2/callback配置为合法回调地址，同时在oauth2-proxy中保留该配置：

redirect_url = "https://oauth2.example.com/oauth2/callback"

2. 简化cookie_domains配置 #

当前同时配置主域和子域会导致浏览器在子域下生成多份Cookie（主域Cookie+子域Cookie），CSRF校验时会混淆不同Cookie中的Token。只需保留顶级父域，所有子域会自动共享该Cookie：

cookie_domains = [
  "example.com"
]

3. 补充CSRF校验的关键配置 #

添加以下配置项，明确CSRF Token的生成规则和有效期，避免因Token生成或过期逻辑导致的校验失败：

cookie_csrf_token_size = 32
cookie_csrf_max_age = 86400

4. 清理浏览器缓存Cookie #

普通模式下的问题源于之前残留的不同域的旧Cookie，与新配置的Cookie产生冲突。手动清除浏览器中example.com、subdomain1.example.com、subdomain2.example.com相关的所有Cookie后，重新测试即可解决二次登录的问题。

内容的提问来源于stack exchange，提问作者user3069488