使用Express搭配vhost中间件时Res.cookie无法设置的问题

问题背景 #

我用Express搭建服务器，通过vhost配置子域名路由：api子域名对应app实例，cdn子域名对应cdn实例。启动代码如下：

// 连接Mongo数据库并启动Express服务器
connection.once("open", () => {
    const server = express()
        .use(vhost("api.*", app))
        .use(vhost("cdn.*", cdn))
        .listen(process.env.PORT || 8080, () => {
            console.log("已连接并监听端口 " + server.address().port);
    });
});

在app的某个控制器中，我使用res.cookie设置Cookie：

res.cookie('state', state.toString(), {maxAge: 3600000, secure, httpOnly: true});

原本不配置vhost，直接用app.listen()时Cookie能正常生效，但添加vhost后就无法设置了。我已在app中正确配置CORS：

app.use(cors({credentials: true, origin: true}));

后续尝试将app内的cookieParser、CORS等中间件移到主服务器中，问题仍未解决：

// 连接Mongo数据库并启动Express服务器
connection.once("open", () => {
    const server = express()
        .use(cors({credentials: true, origin: true}))
        .use(express.json())
        .use(cookieParser())
        .use(vhost("api.*", app))
        .use(vhost("cdn.*", cdn))
        .listen(process.env.PORT || 8080, () => {
            console.log("已连接并监听端口 " + server.address().port);
    });
});

解决办法 #

1. 显式指定Cookie的Domain属性 #

使用vhost子域名时，默认Cookie的Domain会绑定到当前子域名（如api.example.com），若前端请求来自主域名或其他子域名，浏览器会拒绝识别该Cookie。需手动设置Domain为根域名（适配所有子域名）：

res.cookie('state', state.toString(), {
  maxAge: 3600000,
  secure: true,
  httpOnly: true,
  domain: '.example.com' // 注意开头的点，覆盖所有子域名
});

本地开发（如localhost）无需设置domain，浏览器会自动处理。

2. 避免主服务器与子应用的中间件冲突 #

vhost会将请求转发到对应子应用，主服务器和子应用重复配置相同中间件（如CORS、cookieParser）可能导致逻辑冲突。建议仅在子应用（app）内保留这些配置，主服务器只负责vhost路由：

// 主服务器代码
connection.once("open", () => {
    const server = express()
        .use(vhost("api.*", app))
        .use(vhost("cdn.*", cdn))
        .listen(process.env.PORT || 8080, () => {
            console.log("已连接并监听端口 " + server.address().port);
    });
});

// app实例内的配置
app.use(cors({credentials: true, origin: true}));
app.use(cookieParser());
// 后续路由及业务逻辑...

3. 根据环境动态设置Secure属性 #

secure: true要求Cookie只能在HTTPS环境下生效，如果本地开发用HTTP协议，会导致Cookie无法设置。可以通过环境变量动态切换：

const isProduction = process.env.NODE_ENV === 'production';
res.cookie('state', state.toString(), {
  maxAge: 3600000,
  secure: isProduction,
  httpOnly: true,
  domain: isProduction ? '.example.com' : undefined
});

内容的提问来源于stack exchange，提问作者HyperVS