NGINX如何仅在upstream返回自定义Header时设置Cookie？

安全阿岳

2026-8-10

问题场景

上游服务器仅在部分请求中返回Session-ID响应头，需要将该值转为Set-Cookie头返回给客户端；但直接使用add_header Set-Cookie "session_id=$sent_http_session_id;"时，若上游无该Header，会生成空值的Set-Cookie: session_id=，覆盖客户端原有正常Cookie，且尝试用if判断未成功。

解决方案

方法1：使用`map`指令（官方推荐）

Nginx的map指令可根据变量值动态生成新变量，避免if指令在响应阶段的潜在问题。

在http块中定义映射规则：

map $sent_http_session_id $set_session_cookie {
    default "";
    ~.+ "session_id=$sent_http_session_id; Path=/; HttpOnly";
}

$sent_http_session_id是Nginx内置变量，对应上游返回的Session-ID响应头（变量名统一为小写，Header中的连字符需转为下划线）
当$sent_http_session_id非空时（匹配~.+正则），生成完整的Set-Cookie值；否则返回空字符串

在目标location块中添加响应头：

add_header Set-Cookie $set_session_cookie always;

always参数确保在非2xx响应中也生效，若不需要可省略；空字符串的$set_session_cookie不会触发add_header添加无效头

方法2：正确使用`if`指令（不推荐，仅作备选）

若必须使用if，需遵循Nginxif的判断逻辑，直接判断变量本身即可识别空值：

location /your-path {
    # 其他配置...
    if ($sent_http_session_id) {
        add_header Set-Cookie "session_id=$sent_http_session_id; Path=/; HttpOnly";
    }
}