同一代理URL间重定向时Cookie未设置问题求助

针对你遇到的Apigee代理下Okta认证无限循环问题，核心是JSESSIONID Cookie未被前端正确携带，以下是具体排查和修复步骤：

1. 检查Apigee代理的Cookie保留策略 #

Apigee默认可能会过滤或修改后端返回的Cookie，需确保Set-Cookie头完整传递到前端：

• 在代理的Response Flow中添加AssignMessage政策，强制保留原响应的Set-Cookie头：

  <AssignMessage name="Preserve-Set-Cookie">
    <Set>
      <Headers>
        <Header name="Set-Cookie">{response.headers.Set-Cookie}</Header>
      </Headers>
    </Set>
    <IgnoreUnresolvedVariables>true</IgnoreUnresolvedVariables>
    <AssignTo createNew="false" transport="http" type="response"/>
  </AssignMessage>
  

• 在代理的ProxyEndpoint配置中启用Cookie和Host保留：

  <HTTPProxyConnection>
    <BasePath>/your-api-base-path</BasePath>
    <VirtualHost>default</VirtualHost>
    <Properties>
      <Property name="preserveCookie">true</Property>
      <Property name="preserveHost">true</Property>
    </Properties>
  </HTTPProxyConnection>
  

2. 修正Cookie的Domain和Path属性 #

后端返回的JSESSIONID Cookie可能因Domain/Path不匹配，导致前端无法在后续请求中携带：

• 查看/saml/sso响应的Set-Cookie头，确认Domain为前端站点的域名（或父域名），Path为/或包含/auth/success的路径，例如：

  Set-Cookie: JSESSIONID=xxxxxx; Domain=your-frontend-domain.com; Path=/; HttpOnly; Secure

• 若后端无法修改，可在Apigee的Response Flow中用AssignMessage调整：

  <AssignMessage name="Fix-Cookie-Domain-Path">
    <Set>
      <Headers>
        <Header name="Set-Cookie">JSESSIONID={response.headers.Set-Cookie.JSESSIONID}; Domain=your-frontend-domain.com; Path=/; HttpOnly; Secure</Header>
      </Headers>
    </Set>
    <IgnoreUnresolvedVariables>true</IgnoreUnresolvedVariables>
    <AssignTo createNew="false" transport="http" type="response"/>
  </AssignMessage>
  

3. 配置Cookie的SameSite属性 #

现代浏览器对跨域Cookie有SameSite限制，若重定向涉及跨域，需设置SameSite为None（仅HTTPS环境有效）：

• 在Apigee中添加AssignMessage政策修改Cookie属性：

  <AssignMessage name="Add-SameSite-Cookie">
    <Set>
      <Headers>
        <Header name="Set-Cookie">{response.headers.Set-Cookie}; SameSite=None; Secure</Header>
      </Headers>
    </Set>
    <IgnoreUnresolvedVariables>true</IgnoreUnresolvedVariables>
    <AssignTo createNew="false" transport="http" type="response"/>
  </AssignMessage>
  

4. 确认HTTPS环境配置 #

如果前端使用HTTPS，Apigee代理和后端必须同时使用HTTPS，否则浏览器会因Secure属性限制拒绝保存Cookie。确保代理绑定HTTPS虚拟主机，后端通信协议为HTTPS。

5. 验证前端请求的Cookie传递 #

• 使用浏览器开发者工具的Network面板，检查/saml/sso响应的Set-Cookie是否被正确接收；查看/auth/success的请求头，确认Cookie中包含JSESSIONID。
• 若前端是SPA，需确保重定向是浏览器发起的完整页面跳转，而非AJAX请求（AJAX需手动配置withCredentials: true才能携带Cookie）。

内容的提问来源于stack exchange，提问作者Rohit