无法为父域名设置Cookie 跨子域会话共享问题排查

1. 端口差异引发的Domain限制 #

浏览器对Cookie的Domain判断不包含端口，但当前前端使用默认HTTPS端口（443），后端使用444端口，需注意：

• 前端请求后端时，Origin头必须为https://client.com，避免因Origin不一致导致Cookie被浏览器拦截
• 后端设置Cookie时，Domain必须严格设置为.client.com，不能包含端口号

2. 修正Express的Cookie设置方式 #

直接手动拼接set-cookie头容易出现格式或覆盖问题，建议改用Express内置的res.cookie()方法，明确配置所有参数：

// 替换原手动设置header的代码
res.cookie(cookie, tokenEncriptado, {
  path: '/',
  domain: '.client.com',
  secure: true,
  httpOnly: true,
  sameSite: 'Lax',
  // 确保过期时间转换为毫秒数，若JWT_EXPIRES_TIME是字符串（如"1d"），可使用ms库转换
  maxAge: require('ms')(process.env.JWT_EXPIRES_TIME)
});

3. 检查IIS的反向代理配置 #

如果后端通过IIS反向代理，需排查：

• IIS的URL重写或ARR（应用程序请求路由）配置是否修改了set-cookie头中的Domain值，导致自动替换为请求的Host域
• 确认IIS是否传递了正确的Host头给Express服务，若Host头包含端口client.com:444，Express可能自动调整Cookie的Domain，需在IIS中配置移除端口或强制设置Host头为client.com
• 检查IIS的Response Headers设置，确保没有强制覆盖Cookie的属性

4. 浏览器端的策略验证 #

• 确保站点全程使用HTTPS，因为Cookie设置了Secure属性，HTTP环境下浏览器会忽略该Cookie
• 检查浏览器是否开启第三方Cookie阻止功能，端口差异可能被判定为跨域场景，导致Cookie无法正常存储
• 清除浏览器缓存及现有Cookie，避免旧Cookie对新设置的Cookie产生干扰

5. 测试环境对比排查 #

等可登录测试环境后，重点对比：

• 测试环境与生产环境的Express版本、IIS配置差异
• 测试环境的前后端端口配置，以及set-cookie头的实际返回值
• 测试环境中请求的Host、Origin头信息，与生产环境做对比

内容的提问来源于stack exchange，提问作者aac