CloudFront后ELB上Express应用Cookie无法接收及CORS配置异常求助

一、Cookie无法被浏览器接收问题 #

• CloudFront默认不会转发回源Set-Cookie响应头，也不会转发请求中的Cookie到源站，你需要先调整CloudFront的缓存策略/行为配置：
  1. 找到你绑定后端源站的CloudFront行为配置，将「缓存策略和源请求设置」里的Cookie转发规则改为全部转发，或者指定你需要转发的Cookie名称，不要使用不转发选项
  2. 同时开启该行为的「缓存键和源请求」设置中，允许Set-Cookie头回传给客户端，如果用的是托管缓存策略，需要切换到自定义策略，或者给响应头策略添加Set-Cookie到允许列表
• 检查你后端Set-Cookie的属性配置：
  1. 确认Domain属性是否匹配你当前的访问域名，如果设置为后端ELB的私有域名或者错误域名，浏览器会拒绝接收
  2. 如果你的前端和后端是同一个CloudFront域名下的不同路径（比如前端是/，后端是/api/），不需要跨域的情况下可以不用设置Domain，或者设置为CloudFront的根域名即可
  3. 如果你开启了Secure属性，确认你是通过HTTPS访问站点，HTTP场景下带Secure属性的Cookie会被浏览器直接忽略
  4. 如果你设置了SameSite=Strict或者SameSite=Lax，确认跨站场景符合属性要求，跨站请求场景下需要改为SameSite=None; Secure配合使用

二、CORS返回access-control-allow-origin为*的问题 #

• 首先排查CloudFront的响应头策略配置：如果你在CloudFront层面配置了CORS响应头，会直接覆盖源站返回的CORS头，检查是否误设置了access-control-allow-origin: *的全局响应头规则
• 检查CloudFront的回源请求头配置：默认CloudFront不会转发Origin请求头到源站，你的Express服务接收不到Origin头，可能会触发兜底的*返回规则，需要在后端对应的CloudFront行为配置中，把Origin头添加到源请求的允许转发列表中
• 检查ELB的监听配置：如果你的ELB层面配置了CORS规则，也会覆盖后端服务返回的CORS头，确认ELB没有配置全局的CORS响应头
• 排查你的Express CORS配置逻辑：确认是否存在开发环境/生产环境的配置分支，比如生产环境误读取了默认的配置，或者域名匹配规则写错导致命中了兜底的规则

内容的提问来源于stack exchange，提问作者Abdelouahed EL HARIRI