NestJS GraphQL认证微服务设置HttpOnly Cookie报错求助

问题核心 #

使用NestJS GraphQL认证微服务+Apollo Gateway架构时，在Resolver中调用response.cookie()报错response.cookie is not a function，无法设置HttpOnly Cookie。

原因 #

在Apollo Gateway架构下，微服务Resolver中通过@Res()获取的不是直接面向客户端的原生Express/Fastify响应对象，而是Gateway与微服务之间的内部通信响应对象，这个对象没有cookie()方法。同时Gateway默认会拦截并处理微服务的响应，直接操作微服务内的响应无法传递到客户端。

解决方案 #

方案1：手动设置Set-Cookie响应头（最直接） #

跳过response.cookie()方法，手动构造Set-Cookie响应头，直接写入响应。同时要给@Res()添加passthrough: true配置，避免覆盖GraphQL的正常响应。

修改AuthResolver代码：

@Resolver('Auth')
export class AuthResolver {
  constructor(private authService: AuthService) {}

  @Query('login')
  async login(
    @Res({ passthrough: true }) response: Response, // 关键：passthrough保持GraphQL响应正常返回
    @Args('user') user: LoginUserInput,
  ): Promise<LoginResult> {
    try {
      const result = await this.authService.validateUserByPassword(user);

      if (result) {
        // 手动构造Set-Cookie头
        const cookieOptions = {
          httpOnly: true,
          secure: process.env.NODE_ENV === 'production', // 生产环境开启secure
          sameSite: 'strict' as const,
          maxAge: 3600000, // 1小时有效期
          path: '/',
        };
        // 拼接符合规范的Cookie字符串
        const cookieStr = [
          `access_token=${result.token}`,
          'HttpOnly',
          cookieOptions.secure ? 'Secure' : '',
          `SameSite=${cookieOptions.sameSite}`,
          `Max-Age=${cookieOptions.maxAge}`,
          `Path=${cookieOptions.path}`,
        ].filter(Boolean).join('; ');
        
        response.setHeader('Set-Cookie', cookieStr);
        return result;
      }
      throw new AuthenticationError(
        'Could not log-in with the provided credentials',
      );
    } catch (err) {
      throw err;
    }
  }
}

方案2：在Gateway层面统一处理Cookie #

让认证微服务返回token，在Gateway的响应拦截逻辑中读取token并设置Cookie。

1. 修改微服务LoginResult，添加token字段（确保返回给Gateway）
2. 在Gateway中配置响应拦截：

const gateway = new ApolloGateway({
  serviceList: [
    { name: 'users', url: 'http://localhost:9009/graphql' },
  ],
  buildService({ name, url }) {
    return new RemoteGraphQLDataSource({
      url,
      async willSendResponse({ request, response }) {
        // 仅处理login查询的响应
        if (request.operationName === 'login' && response.data?.login?.token) {
          const token = response.data.login.token;
          const cookieOptions = {
            httpOnly: true,
            secure: process.env.NODE_ENV === 'production',
            sameSite: 'strict',
            maxAge: 3600000,
            path: '/',
          };
          // 构造Set-Cookie头并添加到Gateway的响应中
          const cookieStr = `access_token=${token}; HttpOnly; ${cookieOptions.secure ? 'Secure;' : ''} SameSite=${cookieOptions.sameSite}; Max-Age=${cookieOptions.maxAge}; Path=${cookieOptions.path}`;
          response.http.headers.set('Set-Cookie', cookieStr);
        }
      },
    });
  },
});

补充配置：确保CORS和Cookie传递正常 #

在微服务的main.ts中配置CORS，允许凭证传递：

async function bootstrap() {
  const app: NestExpressApplication =
    await NestFactory.create<NestExpressApplication>(
      UsersModule,
      new ExpressAdapter(),
    );

  app.use(cookieParser());
  // 配置CORS允许携带Cookie
  app.enableCors({
    origin: process.env.FRONTEND_URL || 'http://localhost:3000',
    credentials: true, // 必须开启，允许客户端携带Cookie
    allowedHeaders: ['Content-Type', 'Authorization'],
    methods: ['GET', 'POST', 'PUT', 'DELETE'],
  });

  return app.listen(9009);
}

bootstrap();

内容的提问来源于stack exchange，提问作者saafgh