跨子域部署后Symfony API请求头未携带Cookie问题排查

结合你的场景（本地正常、测试环境跨子域失效）及提供的请求头信息，核心问题大概率出在SameSite=Strict的配置上，以下是具体分析和修复步骤：

1. 修正SameSite属性 #

你的Cookie设置了SameSite=strict，该规则仅允许Cookie在**完全相同的站点（同一域名、协议、端口）**请求中携带。而你的场景是跨子域（subdomain1和subdomain2同属mydomain.com），属于same-site但非完全相同站点，此时Strict会阻止Cookie在XHR/fetch请求中发送。

修复方案：
将SameSite改为Lax（兼顾安全与跨子域场景，推荐），或None（需确保全程使用HTTPS）：

• Symfony中修改Cookie配置：

// 示例：配置BEARER Cookie
$response->headers->setCookie(Cookie::create('BEARER')
    ->setValue($jwtToken)
    ->setExpires(new \DateTime('+1 hour'))
    ->setPath('/')
    ->setDomain('mydomain.com')
    ->setSecure(true)
    ->setHttpOnly(true)
    ->setSameSite('lax') // 替换原strict值
);

• 若通过Nginx配置调整：

add_header Set-Cookie "BEARER=<JWT_TOKEN>; expires=Sat, 04-Mar-2023 02:39:21 GMT; Max-Age=3600; path=/; domain=mydomain.com; secure; httponly; samesite=lax";

2. 验证Cookie的Domain属性 #

虽然已设置domain=mydomain.com，仍需确认浏览器实际存储的Cookie域名是否正确：

• 打开Chrome DevTools → Application → Cookies → 查看mydomain.com下的Cookie，确认Domain列显示为.mydomain.com（部分旧浏览器需要前缀点才能覆盖所有子域，现代浏览器无强制要求，但可尝试添加）。

3. 确保所有请求都携带withCredentials #

登录请求已带withcredentials: true，但需确认AngularJS全局或单个请求都启用该属性：

// 全局配置
angular.module('app').config(['$httpProvider', function($httpProvider) {
    $httpProvider.defaults.withCredentials = true;
}]);

// 单个请求配置
$http.get('https://subdomain1.mydomain.com/api/data', {withCredentials: true});

4. 排查代理缓存干扰 #

从响应头x-proxy-cache-info: 0 NC:000000 UP:SKIP_CACHE_SET_COOKIE来看，代理已跳过缓存带Set-Cookie的请求，但需确认后续API请求未被缓存：

• 给所有需要携带Cookie的API请求添加Cache-Control: no-cache头，避免代理返回无Cookie的缓存响应。

5. 确认跨域配置一致性 #

• 确保所有API响应的access-control-allow-origin都设置为具体前端域名（https://subdomain2.mydomain.com），不能使用通配符*（否则withCredentials会失效）。
• 验证access-control-allow-credentials: true在所有需携带Cookie的响应中存在。

按上述步骤调整后，跨子域请求应能正常携带Cookie。

内容的提问来源于stack exchange，提问作者Florian