Azure Function重定向时Set-Cookie与Location头共存失效问题

我了解跨域场景下的302重定向会导致Cookie丢失，但本次API/Azure Function与redirectUrl处于同域。以下为相关代码片段：

const expirationDate = new Date(Date.now())
expirationDate.setHours(expirationDate.getHours() + 24)

logger.add(`Token cookie expiration date set to: ${expirationDate}`)

const headers = {
   Location: `${auth?.redirectUrl}?clientName=${clientName}`,
   "Set-Cookie": `token=${
      auth?.token
   }; Expires=${expirationDate.toUTCString()}; Path=/;`,
}

浏览器重定向至redirectUrl后，在Application标签中无法找到该Cookie，疑似丢失。我猜测这是Azure Function的特定问题，若使用express.js则不会出现此情况。如何在302重定向的同时设置Cookie？

解决步骤 #

1. 规范Azure Function响应格式 #

Azure Function对响应的结构有明确要求，仅返回headers对象可能导致Set-Cookie头未被正确发送。需返回包含状态码和headers的完整响应对象：

return {
    status: 302,
    headers: {
        Location: `${auth?.redirectUrl}?clientName=${clientName}`,
        "Set-Cookie": `token=${auth?.token}; Expires=${expirationDate.toUTCString()}; Path=/;`
    }
};

2. 添加SameSite属性 #

现代浏览器默认对Cookie的SameSite属性有约束，未显式设置可能被拦截。根据场景添加对应属性：

// 同域场景推荐使用Lax
"Set-Cookie": `token=${auth?.token}; Expires=${expirationDate.toUTCString()}; Path=/; SameSite=Lax;`

若涉及跨站子请求，可使用SameSite=None; Secure（需确保HTTPS环境）。

3. 补充Secure属性（HTTPS环境） #

如果服务运行在HTTPS下，添加Secure属性确保Cookie仅通过安全传输通道发送：

"Set-Cookie": `token=${auth?.token}; Expires=${expirationDate.toUTCString()}; Path=/; SameSite=Lax; Secure;`

4. 显式指定Cookie域名 #

即使同域，显式设置域名可避免浏览器解析歧义：

// 替换为实际主域名，不要加前缀（如www）
"Set-Cookie": `token=${auth?.token}; Expires=${expirationDate.toUTCString()}; Path=/; Domain=your-domain.com; SameSite=Lax;`

5. 检查Azure Function运行时配置 #

尝试升级Azure Function运行时版本（如从v3升级到v4），同时检查host.json中是否存在拦截响应头的配置，确保Set-Cookie头未被过滤。

内容的提问来源于stack exchange，提问作者Ericson Willians