无代码改动本地正常发送Cookie Heroku后端无法接收请求头Cookie

开发者阿泽

2026-8-29

问题诱因

跨域Cookie安全策略拦截：本地开发环境前后端走HTTP协议，浏览器不会严格校验Cookie的SameSite、Secure属性，跨域携带Cookie可以正常生效。但Heroku默认提供HTTPS访问地址，从本地HTTP源请求HTTPS跨域接口时，Chrome 80+、Firefox 79+等现代浏览器会直接拦截未显式配置SameSite=None; Secure=true的跨域Cookie，不会将其放入请求头，后端自然无法读取。
反向代理信任配置缺失：Heroku在Node.js应用前部署了一层反向代理，所有用户请求会先经过代理再转发到业务服务。Express框架默认不信任代理传递的请求头，会错误识别请求协议、来源信息，导致Cookie写入、解析逻辑异常。
配置硬编码问题：如果代码中设置Cookie时手动写死domain: 'localhost'，浏览器只会在请求本地服务时携带该Cookie，请求Heroku线上域名时会自动忽略对应Cookie；如果前端请求的Heroku地址用了HTTP协议而非HTTPS，Heroku的强制HTTPS跳转过程也会丢失Cookie信息。

解决方案

调整Express基础配置，添加反向代理信任，修正CORS配置：

app.set('trust proxy', 1) // 信任Heroku的一层反向代理
app.use(cookieParser())
app.use(cors({
    origin: "http://localhost:3000", // 后续前端上线可追加线上源，支持数组格式
    credentials: true,
    exposedHeaders: ['set-cookie'] // 允许前端读取跨域响应的set-cookie头，按需配置
}))

注意：开启credentials: true时，CORS的origin绝对不能配置为*通配符，否则浏览器会直接拦截跨域响应。

统一调整Cookie属性配置，适配跨域HTTPS场景：
不管是手动调用res.cookie()设置Cookie，还是使用express-session、cookie-session等会话库，都要按如下规则配置Cookie属性，生产环境自动适配HTTPS规则，本地开发不受影响：

手动设置Cookie示例：

res.cookie('你的cookie键名', '对应值', {
  httpOnly: true, // 按业务需求决定是否开启，建议敏感Cookie开启
  sameSite: 'none', // 跨域场景必须设置为none
  secure: process.env.NODE_ENV === 'production', // 生产环境（Heroku部署）开启Secure，本地开发自动关闭
  maxAge: 24 * 60 * 60 * 1000 // 按业务需求设置过期时间
})

express-session配置示例：

app.use(session({
  secret: '你的会话加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    httpOnly: true,
    sameSite: 'none',
    secure: process.env.NODE_ENV === 'production',
    maxAge: 24 * 60 * 60 * 1000
  }
}))

收尾校验：

确认前端axios中配置的api基地址为Heroku的HTTPS地址，不要使用HTTP开头的地址
打开浏览器开发者工具，清除localhost和Heroku域名下的所有旧Cookie（旧配置写入的异常Cookie会干扰测试），重新发起请求即可正常携带Cookie。

内容的提问来源于stack exchange，提问作者goyalk130