同域重定向场景下SameSite=Strict Cookie获取失败问题

你的问题核心是SameSite=Strict属性的Cookie在跨站点发起的重定向链中不会被携带，具体拆解如下：

1. 假设初始请求从localhost:3000发起（比如用户在本地页面点击跳转链接到service1.aws.com），这属于跨站点请求（localhost和aws.com是不同站点，eTLD+1分别为localhost和aws.com）。
2. service1.aws.com设置的SameSite=Strict Cookie规则是：仅在同一站点的第一方上下文请求中才会被携带——也就是只有请求从aws.com旗下页面主动发起时，浏览器才会发送该Cookie。
3. 当service1返回302重定向到service2.aws.com时，浏览器发起的service2请求，其「发起上下文」依然是外部站点localhost，不属于aws.com的第一方上下文，因此浏览器不会携带SameSite=Strict的Cookie，最终导致service2中req.cookies['session-id']为undefined。

哪怕service1和service2属于同一顶级域名的子域，只要请求链的源头是外部站点，SameSite=Strict的Cookie就不会在后续同域子域的重定向中被携带。

根据你的业务流程，提供三种可行调整方案：

1. 将Cookie的SameSite属性改为Lax #

SameSite=Lax是当前浏览器默认值，允许在同一站点所有请求以及跨站点顶级导航请求中携带Cookie，完美匹配你的重定向场景：

// 修改service1设置Cookie的代码，替换Strict为Lax
res.cookie('session-id', 'ahdlahdalncac', {
  domain: '.aws.com',
  path: '/',
  sameSite: 'Lax',
  // 若为HTTPS环境，建议添加secure: true增强安全性
});

这样即使初始请求来自localhost，重定向到service2.aws.com时浏览器也会正常携带Cookie。

2. 改为用户主动触发的跳转 #

如果必须保留SameSite=Strict，可以让service1.aws.com返回一个中间页面，引导用户主动点击按钮跳转至service2.aws.com。用户的主动点击属于aws.com站点内的第一方交互，浏览器会携带Strict模式的Cookie：

<!-- service1返回的中间页面示例 -->
<html>
  <body>
    <p>请点击下方按钮继续</p>
    <button onclick="window.location.href='https://service2.aws.com/handlePostLoginProxy'">继续</button>
  </body>
</html>

3. 合并service1和service2的域名 #

如果业务允许，将service1和service2合并为同一子域（比如统一使用auth.aws.com），这样即使是Strict模式的Cookie，在同域名的重定向中也会被正常携带。

SameSite=Strict主要用于防范CSRF攻击，适合安全性要求极高的场景，但会限制跨站点跳转流程。如果你的业务需要跨站点重定向交互，Lax模式是更平衡的选择——既能兼顾大部分安全需求，又不会影响正常的跨站点导航。

内容的提问来源于stack exchange，提问作者Alex Tao