Chrome中Azure部署的Next.js应用无法设置Cookie的排查求助

可能导致Cookie被拦截的原因 #

• Cookie属性不符合浏览器安全规范：Chrome等现代浏览器对Cookie的SameSite、Secure属性有严格校验。若未指定SameSite（或设为None但未搭配Secure）、非HTTPS环境下使用Secure属性，都会触发拦截。
• Azure部署环境配置问题：使用Azure App Service默认域名（*.azurewebsites.net）与自定义域名跨站、CDN/WAF规则无意中修改Set-Cookie响应头、未强制开启HTTPS，都可能导致Cookie被判定为不安全。
• Next.js应用配置疏漏：手动设置Set-Cookie头时参数错误，或使用的身份验证库（如NextAuth.js）默认配置未适配生产环境（比如未启用secure: true）。
• 浏览器端隐私拦截：用户端开启了Chrome的"阻止第三方Cookie"、"增强型安全浏览"，或安装了AdGuard、uBlock Origin等隐私类扩展，主动拦截了Cookie。

具体解决步骤 #

1. 修正Cookie属性配置 #

如果是手动设置Cookie，确保Set-Cookie响应头包含合规属性：

• 生产环境必须添加Secure（仅HTTPS生效）；
• 同站请求用SameSite=Lax（多数场景默认值），跨站请求（如第三方登录回调）用SameSite=None; Secure；
• 按需添加HttpOnly（防XSS）和Domain（指定生效域名）。

若使用NextAuth.js，在[...nextauth].js中调整配置：

export default NextAuth({
  session: {
    strategy: 'jwt',
  },
  cookies: {
    sessionToken: {
      name: `__Secure-next-auth.session-token`,
      secure: process.env.NODE_ENV === 'production',
      sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
      path: '/',
      httpOnly: true,
    },
  },
  // 其他身份验证配置...
})

2. 排查Azure部署环境 #

• 强制开启HTTPS：在Azure App Service的「SSL设置」中开启"HTTPS only"，确保所有请求走HTTPS；
• 校验CDN/WAF规则：若使用Azure CDN，确认未修改Set-Cookie响应头；若配置了WAF，排查是否有拦截Cookie的规则；
• 统一域名一致性：确保身份提供商的回调地址与应用域名完全匹配，避免跨站Cookie判定。

3. 验证浏览器环境 #

• 调整Chrome隐私设置：进入「设置→隐私和安全→Cookie及其他网站数据」，关闭"阻止第三方Cookie"，或把应用域名加入"允许的网站"；
• 临时禁用隐私扩展：关闭AdGuard、uBlock Origin等扩展后测试Cookie是否正常；
• 无痕模式测试：排除浏览器缓存、本地设置的干扰。

4. 调试Cookie拦截详情 #

• 在Chrome开发者工具的「应用→Cookie」面板，查看被拦截Cookie的具体原因（浏览器会标注如"SameSite属性错误"、"非HTTPS下使用Secure"等）；
• 查看网络请求的响应头，确认Set-Cookie是否按预期发送。

内容的提问来源于stack exchange，提问作者gbb