如何将存储在httpOnly Cookie中的令牌注入Authorization请求头？

云原生阿岚

2026-8-3

解决httpOnly Cookie无法注入Authorization头的问题

首先明确：httpOnly Cookie的核心作用就是禁止前端JS读取，所以前端确实拿不到这个令牌，不需要强行让前端去处理Authorization头。
同域/已配置跨域Cookie共享的场景：
浏览器会自动把httpOnly Cookie附在每个符合条件的请求里发送给服务端。你只需要在服务端的业务逻辑里直接从Cookie中提取access_token即可，完全不需要手动把它放到请求头里。比如在Express框架中，直接用req.cookies.access_token就能获取到令牌。

必须使用Authorization头的场景（比如对接第三方API）：
可以在服务端搭建一个中间层/反向代理。前端请求先发送到你的服务端，服务端从Cookie中取出access_token，然后将其添加到Authorization: Bearer ${token}请求头中，再转发给目标API。这样既保留了httpOnly Cookie的安全性，又满足了Authorization头的要求。
举个Express中间层的简单实现：

app.use('/proxy-third-party', async (req, res) => {
  const accessToken = req.cookies.access_token;
  if (!accessToken) {
    return res.status(401).send('未授权');
  }
  try {
    const apiResponse = await fetch('https://third-party-api.example.com', {
      method: req.method,
      headers: {
        ...req.headers,
        'Authorization': `Bearer ${accessToken}`,
        // 移除原请求的Cookie头，避免冗余
        'Cookie': ''
      },
      body: req.method !== 'GET' ? req.body : undefined
    });
    const responseData = await apiResponse.text();
    res.status(apiResponse.status).send(responseData);
  } catch (error) {
    res.status(500).send('转发请求失败');
  }
});