CloudFront无法向S3转发Cookie 还需要配置哪些选项？

解决步骤 #

1. 先校验Cookie本身的配置合法性 #

你用universal-cookie写Cookie时，必须匹配以下配置，否则浏览器不会在请求中携带：

• domain必须设置为你的CloudFront域名（比如dxxxxxxxxx.cloudfront.net），不能留空默认用S3桶域名
• path设置为/，确保所有路径的请求都能携带Cookie
• 必须开启secure: true，因为CloudFront是HTTPS协议，带Secure属性的Cookie才能在HTTPS请求中传输
• sameSite根据场景设置：如果接口和前端同域名选Lax，跨域选None（选None必须同时开启Secure）

示例代码：

import Cookies from 'universal-cookie';
const cookies = new Cookies();
cookies.set('auth_token', token, {
  domain: '.your-cloudfront-domain.com',
  path: '/',
  secure: true,
  sameSite: 'Lax'
});

2. 修正CloudFront行为的转发规则 #

你当前的配置没有覆盖源请求的Cookie转发逻辑，按以下步骤调整：

1. 进入CloudFront分发控制台，打开「行为」标签页
2. 如果你是把Lambda（通过API Gateway）和S3都作为CloudFront的源，要单独新建一条行为，匹配你Lambda接口的路径前缀（比如/api/*），绑定到对应的Lambda/API Gateway源
3. 找到对应行为的「缓存键和源请求」配置：
   • 源请求策略直接选择托管策略Managed-AllViewer，该策略会原样转发所有用户请求头、Cookie、查询参数到源站
   • 如果Lambda接口不需要缓存，缓存策略选Managed-CachingDisabled即可
   • 如果你用自定义源请求策略，要在「Cookie」选项里明确选择「转发所有Cookie」，或者指定你要转发的认证令牌对应的Cookie名称
4. 保存行为配置

3. 清理CloudFront缓存生效配置 #

CloudFront配置变更默认有5到10分钟的延迟，你可以主动创建缓存失效规则：

1. 进入分发的「失效」标签页
2. 新建失效，对象路径填/*，确认提交
3. 等待失效完成后再测试请求

4. 跨域场景额外配置（如果Lambda不共用CloudFront域名） #

如果你的Lambda是单独通过API Gateway暴露，没有和S3共用CloudFront域名：

• API Gateway的CORS配置中，Access-Control-Allow-Origin必须明确填写你的CloudFront域名，不能填*
• 同时开启Access-Control-Allow-Credentials: true
• Axios请求确认已经配置withCredentials: true

内容的提问来源于stack exchange，提问作者Ojs