res.cookie本地与Postman正常 生产环境无法设置浏览器Cookie问题

根因1：Node服务未开启反向代理信任配置 #

DigitalOcean App Platform通过反向代理转发请求到你的Node服务，默认情况下Express等框架不会信任代理请求，会判定当前请求为HTTP协议，你设置的secure: true的Cookie会被判定和请求协议不匹配，无法写入浏览器。这是DigitalOcean App Platform部署Node服务时Cookie失效的最高发原因

解决方案 #

在Express服务入口代码中添加信任代理配置：

app.set('trust proxy', 1); // 信任第一级反向代理，也可直接设为true

根因2：Cookie未配置匹配的domain属性 #

生产环境如果前端域名和后端接口域名不一致，没有显式设置domain时，浏览器会默认将Cookie绑定到接口域名下，前端访问自有域名时无法读取到Cookie。

解决方案 #

在res.cookie配置中添加domain字段，替换为你自己的主域名：

res.cookie('ckstate', 'logged', {
    httpOnly: false, 
    sameSite: router.get("env") === "development" ? true : "none", 
    secure: router.get("env") === "development" ? false : true,
    domain: '.yourdomain.com' // 前缀加.可适配所有子域名
})

根因3：生产环境判断逻辑异常 #

检查router.get("env")是否能正确返回生产环境标识，如果判断失误导致生产环境下sameSite被设为true、secure被设为false，跨域场景下Cookie会被浏览器直接拦截。

解决方案 #

推荐用Node自带的环境变量做判断，生产环境下框架会默认将process.env.NODE_ENV设为production：

const isProd = process.env.NODE_ENV === 'production'
res.cookie('ckstate', 'logged', {
    httpOnly: false, 
    sameSite: isProd ? "none" : "lax",
    secure: isProd,
    domain: isProd ? '.yourdomain.com' : undefined
})

补充验证点 #

• 确认CORS配置中已设置Access-Control-Allow-Credentials: true，且Access-Control-Allow-Origin没有设为*，必须显式指定允许的前端域名
• 确认生产环境后端接口使用HTTPS协议，SameSite=None的Cookie必须配合secure: true且在HTTPS环境下才会生效

内容的提问来源于stack exchange，提问作者Vee Vergil