GCP Cloud Run部署应用时g_csrf_token缺失导致403错误排查求助

• 跨域Cookie策略限制：本地环境前后端通常为同域（如localhost），浏览器无限制发送Cookie；部署后前后端分属不同域名，属于跨域场景。Google Identity默认生成的g_csrf_token Cookie的SameSite属性为Lax，POST请求（Google凭证回调采用POST）不会携带该Cookie到第三方域名。同时现代浏览器默认拦截第三方Cookie，直接跨域传递会被阻止。
• CORS配置缺失关键项：如果Cloud Run后端的CORS配置中Access-Control-Allow-Origin设为*，或者未开启Access-Control-Allow-Credentials: true，浏览器会因安全规则拒绝携带Cookie的跨域请求，导致g_csrf_token无法到达后端。
• data-state_cookie_domain配置错误：若设置的Domain值不符合浏览器Cookie规则（比如设为公共后缀如.app，或与前端域名无关联），Google Identity无法将Cookie绑定到可跨域共享的域名，自然无法随请求发送到后端。

• 完善CORS配置：
  • Cloud Run后端必须将Access-Control-Allow-Origin设为前端的具体域名（如https://your-app.vercel.app），禁止使用通配符*。
  • 确保响应头包含Access-Control-Allow-Credentials: true，同时按需配置Access-Control-Allow-Headers和Access-Control-Allow-Methods，覆盖请求所需的方法和头信息。
• 调整Google Identity的Cookie属性：
  • 在g_id_onload元素中添加data-state_cookie_same_site="None"和data-state_cookie_secure="true"。SameSite=None允许跨域传递Cookie，Secure确保仅在HTTPS下发送（Cloud Run和Vercel均默认HTTPS，满足要求）。
  • 确认data-state_cookie_domain取值正确：如果前端是自定义域名（如example.com），后端是子域名api.example.com，则设为example.com；若前后端为不同顶级域，该属性无效，需换用其他方案。
• 绕过第三方Cookie限制：
  • 若前后端无法共享Cookie，可修改Google Identity的响应模式：在g_id_onload中设置data-ux_mode="redirect"，并配置data-redirect_uri指向后端回调地址，此时g_csrf_token会作为URL参数传递，后端从查询参数中提取验证即可。
  • 或者通过反向代理统一域名：在Vercel中配置反向代理，将/api路径转发到Cloud Run后端，实现前后端同域，Cookie可正常传递。
• 调试排查：
  • 用浏览器开发者工具的「网络」面板，查看Google回调请求的Cookie是否包含g_csrf_token，同时检查响应头的CORS配置是否符合要求。
  • 在Cloud Run后端添加日志，打印请求的Cookie头和请求体，确认令牌的实际传递情况。

内容的提问来源于stack exchange，提问作者Alexandre Schaffner