子域名发送API请求时Cookie无法持久化问题求助

解决方案 #

1. 动态匹配Cookie的Domain #

浏览器对localhost子域名的处理有特殊限制，无法通过.localhost实现通配。需根据请求的Origin动态设置Cookie的domain：

• 从请求头获取Origin，解析出当前请求的完整域名（如admin.localhost:3000）
• 将该域名作为Cookie的domain值，确保Cookie与当前请求域名绑定

修改NestJS的Cookie设置逻辑：

const origin = req.get('Origin');
if (origin) {
  const url = new URL(origin);
  const targetDomain = url.host;
  res.cookie('access_token', mytoken, {
    maxAge: 1000 * 60 * 15,
    httpOnly: true,
    sameSite: origin.startsWith('https://') ? 'none' : 'lax',
    secure: origin.startsWith('https://'),
    domain: targetDomain,
    path: '/',
  });
}

2. 修正SameSite与Secure配置 #

• 本地环境为http协议时，secure: true会导致浏览器拒绝持久化Cookie，需根据请求协议动态切换
• sameSite: 'none'必须配合secure: true使用，本地http环境下改用lax即可满足需求

3. 保留前端Credentials配置 #

前端fetch中的credentials: "include"配置正确，无需修改，它确保跨域请求时浏览器能携带Cookie。

4. 确认CORS配置有效性 #

当前CORS正则已覆盖localhost及子域名，保持现有配置即可，确保NestJS的CORS中间件正确加载。

内容的提问来源于stack exchange，提问作者SujithaW