部署Docker化Node.js Express API后无法向React应用发送Cookie头

核心问题：CORS配置冲突 #

当React请求设置了credentials: true时，浏览器会强制要求CORS的origin不能是通配符*，必须指定具体的前端域名。这是浏览器的安全限制规则，Postman、Insomnia这类API测试工具不受此约束，所以它们能正常保存Cookie。

修复步骤： #

修改API的CORS配置，将origin从*改为前端实际部署的域名（比如https://your-react-app.com），开发环境可保留本地地址（比如http://localhost:3000），支持多域名的话可以用数组或动态判断：

// Express CORS配置示例
app.use(cors({
  origin: ['https://your-react-app.com', 'http://localhost:3000'],
  credentials: true // 必须显式开启该选项
}));

Cookie属性检查 #

部署到线上环境时，Cookie需要满足浏览器安全策略才能被正常保存：

• Secure属性：如果前端是HTTPS协议，Cookie必须设置Secure，确保仅通过HTTPS传输。
• SameSite属性：建议设置为Lax或None（跨域场景下），避免浏览器的SameSite限制。注意设置None时必须同时搭配Secure属性。
• Domain属性：确保Cookie的Domain值与前端域名匹配，比如前端是app.example.com，Cookie的Domain可设为.example.com或直接app.example.com。

检查authService.login生成的Cookie字符串，应包含这些属性，示例：

Authorization=xxx; Path=/; Secure; HttpOnly; SameSite=Lax; Domain=.your-domain.com

额外验证点 #

• 确认前端请求的credentials设置正确：
  • Axios：配置withCredentials: true
  • RTK Query：在createApi时设置credentials: 'include'
• 打开浏览器控制台的Network标签，查看登录请求的Response Headers中是否存在Set-Cookie，同时检查Console是否有CORS相关错误提示（比如"Credentials flag is 'true' but the 'Access-Control-Allow-Origin' header is not '*'"）。

内容的提问来源于stack exchange，提问作者Jose Bernardo