Android浏览器ALB会话粘性失效：AWSALBAPP Cookie均为_remove_问题

可能原因 #

1. Cookie安全属性缺失 #

Android Chrome对Cookie的安全规则比PC端更严格，尤其是HTTPS环境下：

• 若ALB生成的AWSALBAPP-* Cookie未配置Secure属性，Android Chrome会直接拒绝存储该Cookie，最终标记为_remove_
• 未指定SameSite属性时，Android Chrome的默认隐私策略可能拦截Cookie生效，尤其是涉及跨站场景

2. CloudFront Cookie转发异常 #

即便你检查过缓存和源站策略，仍需确认：

• CloudFront行为配置中是否完整转发所有Cookie（包括AWSALBAPP-*和自定义的SESSION_ID），若仅转发部分Cookie，ALB无法维持正常的会话粘性状态
• CloudFront是否篡改了响应头中的Set-Cookie字段，导致Cookie属性被修改

3. Android Chrome隐私设置拦截 #

部分Android设备默认开启「增强型保护」或「阻止第三方Cookie」功能，即便属于第一方Cookie，只要属性不符合安全要求，就会被浏览器拦截

解决步骤 #

1. 补充ALB目标组的Cookie安全属性 #

修改Ingress的target-group-attributes配置，添加Cookie安全属性：

alb.ingress.kubernetes.io/target-group-attributes: >
  stickiness.enabled=true,
  stickiness.type=app_cookie,
  stickiness.app_cookie.cookie_name=SESSION_ID,
  stickiness.app_cookie.duration_seconds=1200,
  stickiness.app_cookie.cookie_attributes=SameSite=None; Secure; HttpOnly

• Secure：确保Cookie仅通过HTTPS传输，满足Android Chrome的安全要求
• SameSite=None：避免跨站场景下的Cookie拦截
• HttpOnly：提升Cookie安全性，同时避免前端脚本篡改

2. 验证CloudFront的Cookie转发配置 #

• 进入CloudFront控制台，找到对应分发，检查行为设置中的「Cookie转发」选项，确保设置为「全部」或明确包含AWSALBAPP-*和SESSION_ID
• 确认缓存策略未缓存含Cookie的响应，避免返回过期的Cookie状态

3. 排查Android浏览器隐私设置 #

让测试设备暂时关闭以下设置，验证会话粘性是否恢复：

• Chrome设置 → 隐私和安全 → 增强型保护 → 关闭
• Chrome设置 → 隐私和安全 → Cookie和其他网站数据 → 取消勾选「阻止第三方Cookie」
  若关闭后恢复正常，说明需通过服务端调整Cookie属性适配浏览器隐私策略

4. 检查HTTPS证书与域名配置 #

• 确认ALB的HTTPS证书覆盖了用户访问的域名，且Android设备信任该证书（证书异常会导致浏览器拒绝存储Cookie）
• 检查AWSALBAPP-* Cookie的域名、路径是否与访问域名、业务路径一致

内容的提问来源于stack exchange，提问作者maryam sadat daneshvarian