如何通过HTTPS后端为HTTP前端域名设置Cookie？

方案1：将前端升级为HTTPS #

这是最彻底的解决方案。现代浏览器对跨协议Cookie设置有严格限制：HTTPS站点设置的Cookie如果标记了Secure属性，只能在HTTPS环境下传输；如果不标记Secure，多数主流浏览器（Chrome、Firefox等）会直接拦截这类跨协议Cookie，避免明文传输带来的安全风险。把前端站点切换为HTTPS后，前后端同协议，Cookie设置逻辑就能正常生效，还能提升整体服务的安全性。

方案2：通过前端代理中转请求 #

借助反向代理（比如Nginx、前端开发服务器）将前端的HTTP请求转发到HTTPS后端，让前端与代理保持同协议通信。代理会处理前后端的协议转换，同时修改响应中的Cookie属性，让前端能正常接收。

举个Nginx代理配置示例：

server {
    listen 80;
    server_name fe.example.com;

    location /api/ {
        proxy_pass https://api.example.com/;
        proxy_set_header Host api.example.com;
        # 将后端Cookie的域名替换为前端域名
        proxy_cookie_domain api.example.com fe.example.com;
        # 确保Cookie路径匹配
        proxy_cookie_path / /;
    }
}

配置后，前端发起http://fe.example.com/api/login请求，代理会转发到https://api.example.com/login，后端返回的Cookie经过代理修改域名后，前端就能正常设置。

方案3：替换为Token身份验证 #

放弃Cookie机制，后端验证通过后返回JWT或自定义Token，前端将Token存储在localStorage/sessionStorage中，后续请求时在请求头（如Authorization: Bearer <token>）携带Token供后端校验。

这种方式不受Cookie的协议、域名限制，是前后端分离项目的常用方案。需要注意：存储在localStorage的Token有XSS攻击风险，可搭配HttpOnly的Refresh Token（存在Cookie中）+ 内存存储的Access Token来平衡安全性与体验。

方案4：利用同域名HTTPS中间页跳转（临时折中方案） #

如果暂时无法升级前端HTTPS，可在主域名下搭建一个HTTPS页面（如https://fe.example.com/auth-callback）：

1. 前端登录时跳转到该HTTPS页面；
2. 由HTTPS页面发起登录请求，后端设置Domain为example.com、带Secure属性的Cookie；
3. 中间页通过postMessage将Cookie值传递给HTTP前端页面（需严格校验目标域名），或者通过URL参数（不推荐，存在泄露风险）；
4. 前端拿到Token值后存储到本地，后续请求时手动携带。

此方案属于临时折中，现代浏览器对SecureCookie的读取限制越来越严格，且存在安全隐患，仅建议在无法升级HTTPS的短期场景下使用。

内容的提问来源于stack exchange，提问作者Janath