无需HTTPS实现跨域Cookie启用方案咨询

针对你在跨域会话认证中遇到的Chrome限制，这里提供几个仅适合临时演示的规避方法，生产环境必须配置HTTPS并遵循规范：

1. 临时修改Chrome浏览器配置（仅演示者本地使用） #

直接关闭Chrome的SameSite安全校验，仅适合你给客户展示时用自己的浏览器操作：

• 在Chrome地址栏输入 chrome://flags/#same-site-by-default-cookies 和 chrome://flags/#cookies-without-same-site-must-be-secure
• 将这两个选项都设置为 Disabled，重启Chrome后即可正常接收SameSite=None且非Secure的Cookie
• 注意：不能要求客户修改浏览器配置，仅作为演示者的临时解决方案

2. 用反向代理统一域名，消除跨域场景 #

通过反向代理把API和两个前端映射到同一域名的不同路径下，这样就不存在跨域问题，无需设置SameSite=None：

• 比如用Nginx做反向代理，示例配置如下：

  server {
      listen 80;
      server_name demo.yourdomain.com;
  
      # 转发API请求到EC2实例
      location /api {
          proxy_pass http://你的EC2公网IP:API端口;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
      }
  
      # 转发后台管理端到S3静态站点
      location /admin {
          proxy_pass http://你的后台S3桶域名;
          proxy_set_header Host $host;
      }
  
      # 转发用户端到S3静态站点
      location /app {
          proxy_pass http://你的用户端S3桶域名;
          proxy_set_header Host $host;
      }
  }
  

• 配置完成后，所有请求都在同一域名下，Cookie设置SameSite=Lax即可正常工作，无需Secure属性

3. 临时切换为Token认证替代Session Cookie #

放弃Session Cookie，改用JWT Token完成认证，彻底避开Cookie的SameSite限制：

• Nest.js端快速集成JWT策略，登录接口返回Token
• 前端将Token存在localStorage或sessionStorage中，每次请求API时在请求头携带：Authorization: Bearer <你的Token>
• 这种方式无需依赖Cookie，跨域场景下也能正常工作，适合快速搭建演示环境

重要提醒 #

以上方法均为临时演示专用，生产环境必须配置HTTPS，严格遵循SameSite=None+Secure=true的Cookie规范，避免安全风险。

内容的提问来源于stack exchange，提问作者MarioZ