GCP Cloud Run前后端服务Cookie传递失效问题求助

核心排查方向：CORS配置、Cloud Run设置、Cookie属性、Apollo Client配置 #

一、CORS配置验证 #

• 后端Express的CORSorigin必须严格匹配生产前端域名，不能用通配符*（带credentials的请求不允许通配符），示例配置：

  app.use(cors({
    origin: 'https://your-frontend-cloud-run-url.a.run.app',
    credentials: true,
    methods: ['GET', 'POST', 'OPTIONS'],
    allowedHeaders: ['Content-Type', 'Authorization']
  }));
  

• 确认Apollo Server Express的CORS配置和Express保持一致，避免被覆盖：

  const server = new ApolloServer({
    schema,
    context: ({ req, res }) => ({ req, res }),
    cors: {
      origin: 'https://your-frontend-cloud-run-url.a.run.app',
      credentials: true
    }
  });
  

二、Cloud Run服务配置检查 #

• 确保前后端Cloud Run服务都启用HTTPS：生产环境下Cookie默认要求Secure属性，HTTP环境浏览器会拒绝携带Cookie
• 检查后端Cookie的Domain属性：需设为.a.run.app（适配Cloud Run二级域名）或后端完整域名，保证前后端域名符合Cookie跨域规则
• 查看Cloud Run日志，确认请求头是否被反向代理/负载均衡修改，是否存在Cookie被移除的情况

三、Cookie属性验证 #

• 检查Supabase生成的Cookie属性：
  • 必须开启Secure: true（HTTPS环境强制要求）
  • SameSite需设为Lax或None（跨域场景下），设None时必须同时开启Secure
  • Domain需匹配前后端共同父域，比如.a.run.app
• 用浏览器开发者工具的Application -> Cookies面板，验证Cookie是否存在、属性是否合法

四、Apollo Client配置检查 #

• 确认生产环境HttpLink的credentials: 'include'配置生效，且uri指向正确的后端Cloud Run域名：

  const httpLink = createHttpLink({
    uri: 'https://your-backend-cloud-run-url.a.run.app/graphql',
    credentials: 'include'
  });
  

• 检查Next.js生产环境变量是否正确传入，避免uri指向本地地址
• 排查Next.js middleware或请求拦截器，确认是否存在修改/移除Cookie头的逻辑

五、浏览器行为验证 #

• 打开浏览器Network面板，查看GraphQL请求的Request Headers，确认是否包含Cookie字段：
  • 若没有，检查控制台是否有CORS错误（比如Origin不被允许、Cookie属性不合法）
  • 若有Cookie但后端未接收到，查看后端日志，确认Express的req.cookies是否能正常读取

内容的提问来源于stack exchange，提问作者Grigor