在Node.js环境下如何实现两个不同域名之间的Cookie同步？

针对https://my-frontend.com（以下简称A域）和https://my-backend.com（以下简称B域）两个完全独立域名的登录态Cookie同步需求，以下是可落地的三种实现方案：

• 方案1：CORS带凭据请求 #

  是最简单直接的实现方式，操作逻辑如下：

  1. A域用户完成登录后，调用B域预先提供的登录态写入接口，请求时需要开启凭据携带配置：XMLHttpRequest场景设置withCredentials: true，Fetch API场景设置credentials: include，确保请求能携带A域拿到的有效登录凭证，同时允许响应写入B域的Cookie
  2. B域接口侧需要配置合规的CORS响应头：
     • Access-Control-Allow-Origin必须明确填写https://my-frontend.com，不能使用通配符*
     • Access-Control-Allow-Credentials必须设置为true
  3. B域校验请求携带的登录凭证有效后，返回响应时带上Set-Cookie头，Cookie的Domain属性设置为my-backend.com，同时可根据安全要求配置HttpOnly、Secure、SameSite等属性。
     注意：如果用户浏览器开启了第三方Cookie拦截，或者符合Chrome隐私沙箱的跨站Cookie限制规则，该方案会失效

• 方案2：中转跳转写入 #

  兼容性最好，不受第三方Cookie规则限制，步骤如下：

  1. A域用户登录完成后，生成带加密签名的临时一次性凭证（有效期控制在30s到1分钟，降低泄露风险），然后将页面跳转至https://my-backend.com/sso-transfer?token=生成的临时凭证
  2. B域的sso-transfer接口校验临时凭证的签名和有效性，确认无误后写入对应登录态Cookie，最后再跳转回A域的目标页面即可。

• 方案3：隐藏iframe静默写入 #

  不想让用户感知到跳转的话可以用这个方案，逻辑和跳转方案类似：

  1. A域用户登录完成后，生成带签名的短期临时凭证，动态创建一个宽高为0的隐藏iframe，将iframe的src属性设置为https://my-backend.com/set-cookie?token=生成的临时凭证
  2. B域的set-cookie接口校验临时凭证合法后，返回带Set-Cookie的响应，完成B域Cookie写入，iframe加载完成后可以直接销毁，用户完全无感知。
     注意临时凭证必须是一次性、短有效期的，防止被恶意窃取利用。

内容的提问来源于stack exchange，提问作者Anna。