Rails 7.1应用Set-Cookie头被错误设为数组的排查修复咨询

问题现象 #

近期创建的Rails 7.1应用出现Set-Cookie头设置异常：本该为Cookies数组中每个元素单独生成Set-Cookie头，实际仅生成一次，且值为整个Cookies数组的字符串形式，比如出现以["_myapp_session作为键、剩余内容为值的格式错误。

环境信息 #

• Ruby 3.0.2
• Rails 7.1.1
• 部署环境：Nginx + Passenger

现有Nginx配置 #

server {
  #listen [::]:443 ssl ipv6only=on;
  listen 443 ssl;
  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
  include /etc/letsencrypt/options-ssl-nginx.conf;
  ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

  server_name example.com;
  root /home/path/to/app/public;

  passenger_enabled on;
  passenger_app_env production;

  location /cable {
    passenger_app_group_name myapp_websocket;
    passenger_force_max_concurrent_requests_per_process 0;
  }

  client_max_body_size 100m;

  location ~ ^/(assets|packs) {
    expires max;
    gzip_static on;
  }
}
server {
  if ($host = example.com) {
    return 301 https://$host$request_uri;
  }

  listen 80;
  listen [::]:80;

  server_name example.com;
  return 404;
}

server {
  listen 80;
  listen [::]:80;

  listen 443 ssl;
  listen [::]:443 ssl;

  server_name www.example.com;
  return 301 https://example.com;
}

调试与修复步骤 #

1. 排查Rails响应头生成逻辑 #

• 本地复现验证：启动本地开发服务器，用浏览器开发者工具或curl -v查看响应头，确认是Rails本身生成错误的Set-Cookie头，还是部署环境篡改了头信息。
• 检查Cookie设置代码：确保使用Rails原生cookies方法设置Cookie（如cookies[:user_id] = { value: '123', expires: 1.day.from_now }），避免手动拼接Set-Cookie头；若有自定义中间件修改响应头，检查是否错误将多个Set-Cookie值合并为数组字符串。
• 查看Rails调试日志：在config/environments/production.rb中设置config.log_level = :debug，重启应用后查看日志中的响应头记录，确认Rails输出的Set-Cookie是否正常。

2. 检查Passenger与Nginx的头处理配置 #

• 升级Passenger版本：旧版本Passenger可能存在多Set-Cookie头处理bug，执行passenger -v查看当前版本，通过官方包管理器升级至最新稳定版。
• 排查Nginx全局配置：确认是否存在proxy_set_header或more_set_headers等模块篡改Set-Cookie头，当前提供的配置无此类操作，但需检查全局Nginx配置文件。
• 开启Passenger调试日志：在Nginx配置中添加passenger_log_level 3;，重启Nginx后查看/var/log/passenger/目录下的日志，排查头处理相关异常。

3. 验证Rails 7.1 Cookie核心配置 #

• 检查Cookie序列化器：查看config/application.rb或环境配置文件中的config.action_dispatch.cookies_serializer，Rails 7.1默认值为:json，若手动修改为:marshal或自定义序列化器，可能导致格式异常。
• 排查自定义Cookie扩展：若有基于ActionDispatch::Cookies的自定义处理逻辑，检查是否在生成响应头时错误将Cookie数组转为字符串。

4. 临时紧急修复方案 #

若确认是Passenger处理多Set-Cookie头的问题，可在控制器中手动生成多个Set-Cookie头：

# 示例：手动添加单个Cookie的Set-Cookie头
response.headers.add('Set-Cookie', cookies[:_myapp_session].to_s)
response.headers.add('Set-Cookie', cookies[:other_cookie].to_s)

注意：需确保每个Cookie的格式正确，避免重复设置。

内容的提问来源于stack exchange，提问作者Anonymus