SSR时认证Cookie未随Fetch请求传递的问题排查求助

1. 验证后端是否收到Cookie #

先定位问题核心：确认是SSR请求没带Cookie，还是后端未正确接收Cookie：

• 修改Nginx的/api/配置，添加Cookie日志：

  location /api/ {
      proxy_pass http://localhost:5000/;
      proxy_set_header Origin $http_origin;
      # 记录请求携带的Cookie到日志
      access_log /var/log/nginx/api_access.log '$remote_addr - [$time_local] "$request" $status "$http_cookie"';
  }
  

• 或者直接在后端/api/user接口中打印请求头的Cookie字段，查看是否包含认证Cookie。如果日志/接口输出中没有该字段，说明SSR发起的请求未携带Cookie。

2. 检查SvelteKit的fetch请求上下文 #

SvelteKit的load函数在SSR时运行在服务端，默认不会自动将客户端Cookie传递给外部fetch请求：

• 改用相对路径发起请求，SvelteKit会自动复用当前请求的上下文（包括Cookie）：

  export const load = (async ({ fetch }) => {
      const user = await fetch("/api/user", {
        method: 'GET',
        headers: { 'Content-Type': 'application/json' },
        credentials: 'include',
      });
      return { user };
  }) satisfies LayoutLoad;
  

• 或者手动从请求上下文提取Cookie并添加到fetch头：

  export const load = (async ({ fetch, request }) => {
      // SSR时在服务端控制台打印，确认是否拿到客户端Cookie
      console.log('Client Cookie:', request.headers.get('cookie'));
      const user = await fetch("https://subdomain.domain.com/api/user", {
        method: 'GET',
        headers: {
          'Content-Type': 'application/json',
          'Cookie': request.headers.get('cookie') || ''
        },
        credentials: 'include',
      });
      return { user };
  }) satisfies LayoutLoad;
  

3. 检查Cookie的属性配置 #

生产环境HTTPS下，Cookie的属性直接影响是否被携带：

• 在浏览器开发者工具的「Application」→「Cookies」中查看生产环境Cookie：
  • Secure：必须勾选，HTTPS环境下只有带此属性的Cookie才会被传递
  • SameSite：若设置为Strict，服务端发起的SSR请求可能无法携带，建议改为Lax（同域名场景下足够）
  • Domain：需设置为subdomain.domain.com或.domain.com，确保子域名下的请求能访问该Cookie
  • Path：设置为/，确保所有路径的请求都能携带Cookie

4. 完善Nginx代理配置 #

确保Nginx在转发请求时不会丢失Cookie：

• 更新/api/和/的配置：

  location /api/ {
      proxy_pass http://localhost:5000/;
      proxy_set_header Origin $http_origin;
      # 传递客户端Cookie到后端服务
      proxy_set_header Cookie $http_cookie;
      proxy_set_header Host $host;
      proxy_set_header X-Forwarded-Proto $scheme;
      # 修正后端返回的Cookie域名/路径，适配生产环境
      proxy_cookie_domain localhost subdomain.domain.com;
      proxy_cookie_path / /;
  }
  
  location / {
      proxy_pass http://127.0.0.1:4000;
      # 确保客户端Cookie传递到SvelteKit服务
      proxy_set_header Cookie $http_cookie;
      proxy_set_header Host $host;
      proxy_set_header X-Forwarded-Proto $scheme;
  }
  

5. 对比开发与生产环境的请求差异 #

• 开发环境是HTTP，生产环境是HTTPS，Cookie的Secure属性是核心差异点
• 开发环境前后端为不同端口，浏览器视为同源；生产环境为同域名，需确认后端设置Cookie时的域名规则是否与开发环境一致

内容的提问来源于stack exchange，提问作者Jorrit