部署在Contabo服务器的Svelte应用hook.server.js无法获取Cookie问题

核心问题分析 #

登录动作中能成功设置并读取Cookie，但后续请求进入hook.server.js的handle函数时，event.cookies.get('auth')始终返回undefined，本地环境正常，说明问题出在生产环境下Cookie的存储或传输环节。

针对性解决方案 #

1. 显式配置Cookie的secure属性

生产环境下SvelteKit默认会给Cookie加上secure: true，但如果你的Contabo服务器是通过HTTP而非HTTPS提供服务，浏览器会拒绝保存带有secure标记的Cookie，导致后续请求无法携带。

修改登录动作中的Cookie设置代码，根据环境调整secure值：

cookies.set('auth', accessToken, {
  path: '/',
  sameSite: 'lax',
  secure: process.env.NODE_ENV === 'production' ? false : true, // HTTP服务设为false，HTTPS设为true
  maxAge: 60 * 60 * 24 * 7, // 可选：设置Cookie有效期，避免会话结束即失效
  httpOnly: true // 可选：增强安全性，防止前端JS读取Cookie
});

2. 检查服务器反向代理配置（若使用Nginx等）

如果你的Svelte应用通过Nginx反向代理对外提供服务，需要确保代理配置正确转发请求头，否则SvelteKit无法正确识别请求协议，导致Cookie属性判断错误。

在Nginx配置中添加以下关键配置：

location / {
  proxy_pass http://localhost:你的应用端口;
  proxy_set_header Host $host;
  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header X-Forwarded-Proto $scheme; # 关键：告诉SvelteKit请求的实际协议（HTTP/HTTPS）
}

3. 浏览器端排查Cookie状态

登录成功后，打开浏览器开发者工具（F12），进入Application -> Cookies -> 你的服务器IP/域名，确认：

• Cookie名称auth存在
• Domain字段与访问地址匹配（IP访问时应为该IP，或留空）
• Path为/
• Secure标记未被勾选（如果是HTTP服务）
• HttpOnly标记不影响服务器读取，仅限制前端访问

4. 避免domain参数的错误使用

直接指定domain: '你的IP'可能导致Cookie匹配失败，因为浏览器对IP地址的Cookie处理与域名不同。如果是IP访问，建议不设置domain参数，让浏览器自动匹配。

验证步骤 #

1. 修改Cookie配置后重新部署应用
2. 登录成功后查看浏览器Cookie是否存在
3. 访问首页时查看hook.server.js中的日志，确认event.cookies.get('auth')能获取到值

内容的提问来源于stack exchange，提问作者kaf_bertrand