Gin+crewjam/saml生产环境重定向时无法设置token Cookie问题

1. 配置Cookie Domain适配生产环境域名 #

生产环境多为多子域部署，若crewjam/saml默认使用请求Host作为Cookie Domain，会导致Cookie无法跨子域生效。

• 在ServiceProvider配置中显式设置根域名格式的SessionCookieDomain：

sp := saml.ServiceProvider{
    // 其他原有配置...
    SessionCookieDomain: ".conduct-sso-domain.internal",
}

2. 强制开启Secure Cookie属性 #

生产环境若使用HTTPS，浏览器仅会保存带有Secure属性的Cookie。若后端未正确识别HTTPS（如反向代理未传递协议头），库不会自动添加该属性：

• 显式开启SessionCookieSecure：

sp := saml.ServiceProvider{
    // 其他原有配置...
    SessionCookieSecure: true,
}

• 同时配置反向代理传递X-Forwarded-Proto头（以Nginx为例）：

proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Host $host;

• 让gin信任代理IP，确保后端能正确识别请求协议：

router := gin.Default()
router.SetTrustedProxies([]string{"你的代理IP/段"})

3. 调整SameSite属性适配重定向场景 #

现代浏览器默认SameSite为Lax，若库默认设置为Strict，跨域重定向时Cookie会被浏览器拦截：

• 根据场景设置SessionCookieSameSite：

sp := saml.ServiceProvider{
    // 其他原有配置...
    // 同域重定向用Lax，跨域场景用None（需配合Secure）
    SessionCookieSameSite: saml.SameSiteLax,
}

4. 设置Cookie路径为根路径 #

若库默认将Cookie路径限定为/saml/，后续/query/路径的请求无法携带Cookie：

• 修改SessionCookiePath为根路径：

sp := saml.ServiceProvider{
    // 其他原有配置...
    SessionCookiePath: "/",
}

5. 检查反向代理的Cookie处理规则 #

若使用反向代理（如Nginx），需确保代理未修改或丢弃Set-Cookie头：

• 避免错误的proxy_cookie_path配置，若需路径映射则正确设置：

proxy_cookie_path / /;

内容的提问来源于stack exchange，提问作者Akshaj Dave