跳转至Shopify应用商店时设置Cookie失效，有哪些可行的替代解决方案？

你原有方案失效的根本原因不是重定向逻辑，而是违反了浏览器同源Cookie策略：你在ourappname.com域名下的服务，试图给第三方域名apps.shopify.com设置Cookie，浏览器会直接拦截这个操作，Cookie根本不会被存储。

下面三个方案按实现成本从低到高排序，都可以稳定解决追踪问题：

方案1：透传ref参数到Shopify应用商店（实现成本最低） #

Shopify应用商店支持自定义查询参数透传，用户安装应用后跳转回你的服务时，这些参数会被完整带回，完全不需要依赖Cookie。

修改逻辑： #

直接把ref参数拼接到你要重定向的Shopify应用链接末尾即可：

@GetMapping("/convert")
public void setCookieAndRedirect(HttpServletRequest request,HttpServletResponse response, 
@RequestParam(value ="ref", required = false) String ref) {
        try {
            // 直接把ref拼到重定向地址后
            response.sendRedirect("https://apps.shopify.com/appname?ref=" + URLEncoder.encode(ref, StandardCharsets.UTF_8.name()));
         }catch(Exception ex) {
             ex.printStackTrace();
         }
    }

后续读取： #

用户安装完成跳回你的服务时，直接从请求参数里取ref值即可匹配推广来源。

方案2：修复原有Cookie逻辑（最小改动兼容原有代码） #

只需要删除你原有代码里给Cookie设置第三方域名的逻辑，让Cookie默认存在你自己的ourappname.com域名下即可。用户安装完成跳转回你的服务时，浏览器会自动携带你自己域名下的Cookie，完全可以正常读取。

修改后代码： #

@GetMapping("/convert")
public void setCookieAndRedirect(HttpServletRequest request,HttpServletResponse response, 
@RequestParam(value ="ref", required = false) String ref) {
        System.out.println(" REceived ref code " + ref +" ::: redirecting to appstore.");
         Cookie cookie = new Cookie("RefCookie", ref);
         try {
            cookie.setPath("/");
            cookie.setMaxAge(60 * 60 * 24 * 365 * 10);
            // 删除给shopify域名设置Cookie的错误代码
            response.addCookie(cookie);
            response.sendRedirect("https://apps.shopify.com/appname");
         }catch(Exception ex) {
             ex.printStackTrace();
         }
    }

原有checkForDiscounts逻辑不需要做任何修改，即可正常读取到Cookie值。

方案3：用OAuth state参数绑定ref值（最安全合规） #

Shopify应用安装走的是标准OAuth2流程，其中state参数本来就是设计用来传递自定义上下文信息的，这个方案安全性最高，不会出现参数丢失或者被篡改的问题。

实现逻辑： #

1. 收到ref参数时，生成一个随机唯一的state字符串，把state和ref的对应关系存入Redis或数据库，过期时间设置为30天即可
2. 把state拼到重定向的Shopify授权链接末尾
3. 用户安装完成跳回你的服务时，会携带这个state参数，你拿state去缓存里查询对应的ref值即可完成来源匹配

内容的提问来源于stack exchange，提问作者Najeeba Saidalavi