Express/axios转发后端请求时响应Cookie未在浏览器设置问题排查

本质是HTTP请求链路的响应边界问题，浏览器只会处理它直接发起请求的目标服务返回的响应头，完全感知不到服务端内部的转发请求逻辑：

• 你用Node服务里的axios调用3000端口后端接口，属于服务端和服务端之间的内部通信，这个请求的发起方是你的Node服务，不是浏览器。后端返回的set-cookie响应头，是给发起请求的axios客户端的指令，和浏览器没有任何关联。
• 你写的转发逻辑仅通过res.json(data.data)把后端返回的响应体返回给了浏览器，全程没有把axios拿到的set-cookie头写入8080端口服务给浏览器的响应对象里，浏览器收不到set-cookie指令，自然不会写入对应Cookie。
• 你之前尝试的withCredentials: true配置完全不适用当前场景：这个配置是浏览器环境发跨域请求时的专属配置，作用是允许跨域请求携带目标源Cookie、接收目标源返回的set-cookie头，但你当前的axios运行在Node.js服务端，不是浏览器运行环境，开启该参数没有任何效果。
• 你配置的CORS跨域规则同样不解决问题：CORS是浏览器的同源安全策略，仅在浏览器直接发起跨源请求时生效，当前浏览器是直接请求同源的8080端口服务，根本没有触发跨域校验，CORS配置和当前故障无关。

你手动调用res.cookie()的逻辑，本质是主动在8080端口给浏览器的响应里加上了set-cookie头，浏览器收到自己直接访问的源（localhost:8080）返回的Cookie设置指令，自然会完成Cookie写入。

注意：你当前临时方案的写法存在问题：直接把整个set-cookie头序列化后作为Cookie值写入，没有同步透传Cookie的domain、path、httpOnly、secure、过期时间等属性，会导致Cookie作用域异常、敏感Cookie泄漏给前端JS等安全问题，不建议生产环境使用。

不需要逐字段解析Cookie属性，直接把后端返回的set-cookie响应头原样透传给浏览器即可，示例代码：

router.get('/test-front-api', async (req, res) => {
  const backResp = await api.get('/test-back-api')
  // 原样透传set-cookie头
  res.set('set-cookie', backResp.headers['set-cookie'])
  return res.json(backResp.data)
})

如果是全量接口转发场景，直接使用成熟的服务端代理中间件实现转发即可，这类中间件会默认自动透传所有请求头、响应头（包括set-cookie），不需要手动处理头信息。

内容的提问来源于stack exchange，提问作者dokichan