ExpressJS设置带domain属性的HttpOnly Cookie测试环境失效问题排查

问题根因排查方向 #

1. 优先确认测试环境WebSEAL/ISAM代理的Cookie过滤规则

你遇到的「只要带domain属性的Set-Cookie头就完全消失」的现象，90%以上是中间代理组件拦截丢弃导致的，WebSEAL/ISAM默认有严格的Cookie管控规则：

• 检查set-cookie-allowed-domains白名单配置：如果abc.com.au没有加到允许的域名列表中，所有携带domain属性匹配该域名的Set-Cookie头都会被直接丢弃
• 检查strip-domain-from-cookies开关配置：如果该开关开启，代理会强制移除所有Cookie的domain属性，部分严格配置模式下会直接丢弃整个带domain的Set-Cookie头
• 检查自定义Cookie放行规则：WebSEAL默认只会放行自身生成的会话Cookie，你自定义的x-customerCookie需要手动加到代理的放行白名单中，同时要配置允许该Cookie携带domain属性

2. 验证Express服务原始响应是否正常生成Set-Cookie

先排除服务端自身问题，在测试环境Express服务所在服务器执行本地curl命令查看原始响应：

curl -v http://localhost:<你的Express服务端口>/<触发Set-Cookie的接口路径>

如果本地curl结果的响应头中能看到Set-Cookie: x-customer=xxx; Domain=abc.com.au; ...的内容，就可以完全确认是中间代理节点丢弃了该响应头。

3. 兼容旧代理的domain格式调整

部分低版本WebSEAL/ISAM组件只识别带前缀点的domain格式，你可以先尝试修改Express的Cookie配置，看是否能绕过过滤：

res.cookie('x-customer', access_token, { 
  maxAge: 1200000, 
  httpOnly: true, 
  domain: '.abc.com.au', // 前面加小数点
  secure: true 
})

该写法符合新旧浏览器Cookie规范，同样支持所有abc.com.au的子域名读取Cookie。

4. 域名匹配合法性校验

确认测试环境的访问域名后缀完全匹配你设置的domain：如果测试环境实际访问域名是abc.com.cn、test.abc.cn这类和abc.com.au后缀不匹配的域名，即便代理不过滤，浏览器也会拒绝设置该Cookie，但这种情况下响应头中还是能看到Set-Cookie字段，和你遇到的现象不符，可以作为兜底校验项。

内容的提问来源于stack exchange，提问作者Carlos Jaime C. De Leon