基于express-openid-connect搭建网关：跨域Cookie适配本地开发方案咨询

针对你的场景，核心是根据运行环境动态配置Cookie的domain属性，同时兼顾生产环境多子域名共享Cookie和本地开发localhost的兼容性，以下是几种可行方案：

方案1：环境变量驱动的动态Cookie配置 #

利用NODE_ENV环境变量区分生产/开发环境，在express-openid-connect的配置中动态设置Cookie的domain：

const { auth } = require('express-openid-connect');

app.use(auth({
  authRequired: false,
  auth0Logout: true,
  issuerBaseURL: process.env.ISSUER_BASE_URL,
  baseURL: process.env.BASE_URL,
  clientID: process.env.CLIENT_ID,
  secret: process.env.SECRET,
  session: {
    cookie: {
      // 生产环境设置为顶级域名（前缀的点兼容所有子域名）
      domain: process.env.NODE_ENV === 'production' ? '.domain.com' : undefined,
      // 可选：根据环境调整安全属性
      secure: process.env.NODE_ENV === 'production',
      sameSite: process.env.NODE_ENV === 'production' ? 'lax' : 'none'
    }
  }
}));

关键说明：

• 本地开发时不设置domain，浏览器会自动将Cookie绑定到当前域名（如localhost:3000），避免浏览器限制导致Cookie失效。
• 生产环境设置.domain.com，确保api.domain.com、client1.domain.com等所有子域名都能共享认证Cookie。

方案2：本地开发用Hosts映射子域名 #

如果希望本地开发完全模拟生产的子域名逻辑，可以修改本地hosts文件：

1. 打开/etc/hosts（Linux/macOS）或C:\Windows\System32\drivers\etc\hosts（Windows）
2. 添加以下映射：

   127.0.0.1 api.localhost.com
   127.0.0.1 client1.localhost.com
   

3. 启动Express服务器和客户端时，分别使用api.localhost.com和client1.localhost.com作为访问域名
4. 统一将Cookie的domain设置为.localhost.com，无需区分环境

这种方式消除了环境差异，让本地开发场景和生产完全对齐。

方案3：自定义Cookie生成逻辑 #

如果需要更精细的控制，可以通过自定义函数动态生成Cookie配置：

const getCookieConfig = () => {
  if (process.env.NODE_ENV === 'production') {
    return {
      domain: '.domain.com',
      secure: true,
      sameSite: 'lax',
      httpOnly: true
    };
  }
  // 本地开发仅保留必要安全属性
  return {
    httpOnly: true,
    sameSite: 'none',
    secure: false
  };
};

app.use(auth({
  // 其他基础配置...
  session: {
    cookie: getCookieConfig()
  }
}));

内容的提问来源于stack exchange，提问作者Jean-Francois Gagnon