Laravel 8前端无法接收Node.js服务端返回的HttpOnly Cookie问题求助

问题根因 #

你当前的请求链路为 浏览器 → Laravel → Node.js，Node.js 返回的 Set-Cookie 响应头是发送给Laravel服务端的，Laravel默认不会自动把上游接口返回的响应头附加到自身返回给浏览器的响应中，所以浏览器收不到写Cookie的指令，自然无法写入HttpOnly Cookie。Postman等工具是直接请求Node.js接口，没有中间层，所以可以正常写入。

解决方案 #

1. 适配Node.js端Cookie配置 #

sameSite: 'none' 配置要求必须同时开启 secure: true，仅能在HTTPS环境下生效，本地HTTP测试时需要调整配置避免浏览器拦截Cookie：

.cookie("accessToken", results.accessToken, {
    httpOnly: true,
    path: '/',
    // 生产环境和本地测试适配
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    secure: process.env.NODE_ENV === 'production',
    // 访问域名适配，用localhost访问就填localhost，用fckid.test访问就填fckid.test
    domain: process.env.NODE_ENV === 'production' ? 'fckid.test' : 'localhost'
})

2. 修改Laravel控制器转发Cookie头 #

手动从Node.js的响应中取出Set-Cookie头，附加到Laravel返回给浏览器的响应中：

public function login(Request $request)
{
    $body = $request->post();
    $response = Http::post('http://localhost:3000/users/login', $body);

    if ($response->status() == 200) {
        // 提取Node返回的Set-Cookie头
        $nodeCookie = $response->header('Set-Cookie');
        // 附加到重定向响应中返回给浏览器
        return redirect()->route('view_student')->withHeaders([
            'Set-Cookie' => $nodeCookie
        ]);
    } else {
        return redirect()->route('login.page');
    }
}

3. 后续请求适配（可选） #

如果后续Laravel需要代请求其他需要鉴权的Node.js接口，需要手动把浏览器带来的Cookie附加到请求头中：

$response = Http::withHeaders([
    'Cookie' => $request->header('Cookie')
])->get('http://localhost:3000/需要鉴权的接口路径');

内容的提问来源于stack exchange，提问作者user4073072