Django：根据访问域名动态设置SESSION_COOKIE_DOMAIN的问题

我明白你的痛点——单Django项目要兼顾example1子域的session共享和example2的独立登录，固定SESSION_COOKIE_DOMAIN确实会顾此失彼。你之前尝试的动态中间件没成功，问题出在错误地从request.COOKIES里读取cookie的domain属性，这个属性根本不会出现在请求的Cookie头里，浏览器只会根据规则发送符合当前域的cookie，不会把domain属性带过来。

下面给你一套适配Django3+的可行方案，核心是根据当前请求的域名动态调整响应中session cookie的domain：

步骤1：编写动态Session Cookie中间件 #

在你的项目中新建一个中间件文件（比如myapp/middleware.py），添加以下代码：

from django.utils.deprecation import MiddlewareMixin
from django.conf import settings

class DynamicSessionCookieDomainMiddleware(MiddlewareMixin):
    def process_request(self, request):
        # 提取请求主机名（去掉端口号，避免localhost:8000这类情况干扰）
        host = request.get_host().split(':')[0]
        
        # 根据域名分组设置session cookie domain
        if host.endswith('example1.com'):
            # 所有example1相关域名（主域+子域）共享session
            self.target_domain = '.example1.com'
        elif host == 'example2.com':
            # example2独立使用自身域名的cookie
            self.target_domain = 'example2.com'
        else:
            # 其他域名默认使用当前主机名（可根据需求调整）
            self.target_domain = host

    def process_response(self, request, response):
        # 定位session cookie，动态修改其domain属性
        session_cookie_name = settings.SESSION_COOKIE_NAME
        if session_cookie_name in response.cookies:
            cookie = response.cookies[session_cookie_name]
            cookie['domain'] = self.target_domain
            # 确保cookie路径为根目录，避免子路径限制
            cookie['path'] = '/'
            # 同步settings中的安全配置
            cookie['secure'] = settings.SESSION_COOKIE_SECURE
            cookie['httponly'] = settings.SESSION_COOKIE_HTTPONLY
        return response

步骤2：配置中间件顺序 #

在settings.py中，将这个中间件放在SessionMiddleware之后（确保我们能修改它生成的cookie）：

MIDDLEWARE = [
    # ...其他中间件（比如CommonMiddleware等）...
    'django.contrib.sessions.middleware.SessionMiddleware',
    'myapp.middleware.DynamicSessionCookieDomainMiddleware',  # 加在这里
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    # ...其他中间件...
]

同时注释掉原来固定的SESSION_COOKIE_DOMAIN配置：

# SESSION_COOKIE_DOMAIN = ".example1.com"  # 移除或注释这一行

关键逻辑说明 #

1. 为什么之前的判断不成立？
   request.COOKIES存储的是cookie的值，而不是cookie的元数据（比如domain、path）。这些元数据是浏览器在发送请求时根据自身规则匹配的，不会包含在请求的Cookie头里，所以你之前的判断条件永远不会触发。

2. 动态设置的核心思路

   • 在process_request中根据当前请求的域名，确定该请求对应的session cookie domain
   • 在process_response中修改响应的Set-Cookie头，给session cookie设置对应的domain属性

注意事项 #

• 清除旧cookie：测试前务必清除浏览器中与example1、example2相关的旧cookie，避免之前固定domain的cookie干扰。
• HTTPS要求：如果你的网站使用HTTPS，确保SESSION_COOKIE_SECURE = True，否则浏览器可能不会跨子域发送cookie（现代浏览器对非HTTPS的跨域cookie限制很严格）。
• 扩展其他域名：如果后续新增域名，只需在process_request的判断逻辑中添加对应的分支即可。

内容的提问来源于stack exchange，提问作者user1162541