如何在EKS集群的LB-Ingress-Service架构应用中启用安全Cookie？

为什么应用层设置安全Cookie没效果？ #

你的环境里只有负载均衡器（LB）启用了SSL，Ingress到Pod之间都是HTTP通信。应用收到的请求是HTTP协议的，大部分应用框架会根据请求的协议判断是否给Cookie加上Secure标记——因为HTTP被认为是不安全连接，所以即使你在应用层配置了安全Cookie，框架也不会自动添加Secure属性，导致达不到预期效果。

可行配置方案 #

方案1：让Ingress传递真实请求协议给应用 #

大部分Ingress控制器（比如NGINX Ingress）可以配置转发X-Forwarded-Proto: https头部到后端Pod，让应用识别到用户端的原始请求是HTTPS的，从而自动为Cookie加上Secure标记。

NGINX Ingress配置示例

修改你的Ingress资源，添加对应注解：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: your-app-ingress
  annotations:
    # 开启转发头部
    nginx.ingress.kubernetes.io/use-forwarded-headers: "true"
    # 指定原始协议为HTTPS
    nginx.ingress.kubernetes.io/x-forwarded-proto: "https"
    # 可选：强制HTTPS跳转（如果需要）
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
spec:
  ingressClassName: nginx
  rules:
  - host: your-app.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: your-app-service
            port:
              number: 80

同时，应用层需要配置信任这个转发头部：

• Spring Boot：设置server.forward-headers-strategy=native或server.use-forward-headers=true
• Express（Node.js）：添加app.set('trust proxy', true)

方案2：让Ingress直接给Cookie加Secure标记 #

如果没法修改应用配置，可以通过Ingress的配置片段，在响应返回给用户前，自动给所有Cookie加上Secure属性。

NGINX Ingress配置示例

在Ingress注解里添加配置片段：

metadata:
  annotations:
    nginx.ingress.kubernetes.io/configuration-snippet: |
      more_set_headers "Set-Cookie: $sent_http_set_cookie; Secure";

注意：这个配置会给所有响应Cookie加Secure标记，要确认没有不需要这个属性的Cookie，避免影响功能。

方案3：Ingress层终止SSL（可选，非必需） #

如果愿意增加内部通信的加密开销，可以在Ingress层卸载SSL，让Ingress到Pod的请求用HTTPS。这样应用收到的是HTTPS请求，自然会给Cookie加上Secure标记。但这个方案不是必须的，因为前两个方案已经能解决问题。

配置要点

• 用Cert-Manager或手动创建SSL证书Secret
• 在Ingress的spec.tls部分配置证书：

spec:
  tls:
  - hosts:
    - your-app.example.com
    secretName: your-app-tls-secret

• 后端Service和Pod需要监听HTTPS端口，或者配置Ingress转发到对应端口。

是否需要在应用层卸载SSL？ #

不需要。通过方案1或方案2，完全不需要修改应用层的SSL配置，也不用把内部通信改成HTTPS，就能让Cookie的Secure标记生效。其中方案1更符合HTTP代理的最佳实践，推荐优先使用。

内容的提问来源于stack exchange，提问作者aji ajith