AWS CloudFront中HttpOnly Cookie未自动携带问题的解决建议

1. 调整CloudFront分发的行为规则 #

针对指向API Gateway的路径（比如/signin、/inventory），修改对应CloudFront行为：

• 转发Cookie：在缓存策略里选择All，或者指定你需要的Auth Token Cookie名称，确保CloudFront不会过滤Cookie相关的请求/响应头。
• 启用Origin Request Policy：勾选Cookie选项，保证请求时的Cookie能完整转发到API Gateway。
• 禁用动态接口缓存：把该路径的缓存TTL设为0，避免CloudFront缓存旧的响应导致Cookie无法正确写入。

2. 修正Set-Cookie的属性设置 #

在处理/signin的Lambda函数里，返回Set-Cookie时必须带上这些关键属性：

• Domain：设为你的CloudFront分发域名（比如your-cf-domain.com），别用API Gateway的域名，否则Cookie会绑定到API域名，前端请求时不会携带。
• Path：设为/或者接口的根路径（比如/api/），确保所有相关接口请求都能带上这个Cookie。
• SameSite：根据场景选Lax或None（跨域且用HTTPS时选None，同时必须加Secure），而且HttpOnly Cookie必须配合Secure属性（CloudFront默认强制HTTPS，刚好符合要求）。
• 示例格式：

  AuthToken=your-token-value; HttpOnly; Secure; Domain=your-cf-domain.com; Path=/; SameSite=Lax
  

3. 配置CloudFront的CORS响应头 #

如果前端（CloudFront域名）和API Gateway是跨域场景，必须在CloudFront里添加自定义响应头：

• 加Access-Control-Allow-Credentials: true：允许前端带Cookie发跨域请求。
• 加Access-Control-Allow-Origin：设为你的CloudFront域名（不能用*，因为允许Credentials时Origin不能通配）。
• 同时确保API Gateway的Lambda响应里也返回一致的CORS头，避免冲突。

4. 检查API Gateway的集成配置 #

• 确认API Gateway的集成请求已经开启转发Cookie头到Lambda，集成响应允许传递Set-Cookie头到客户端。
• 如果用了API Gateway自定义域名，确保证书覆盖了CloudFront域名，避免因域名不匹配导致Cookie无法存储。

5. 验证缓存与请求策略 #

• 检查所用的缓存策略，确保没有排除Set-Cookie响应头；Origin Request Policy也不能排除Cookie请求头。必要时创建自定义策略，明确包含这些头信息。

内容的提问来源于stack exchange，提问作者Arunava Das Gupta