跨域场景下使用gorilla session时浏览器不保存Cookies的问题求解

已确认的问题边界 #

• Postman直连后端、同域页面发起请求时，Cookie可正常写入，全流程功能正常
• 前后端分属不同域名的跨域场景下，浏览器控制台无任何报错，但Set-Cookie响应未被浏览器落地
• 本地环境测试全链路正常，部署到Heroku（Docker容器跑Nginx前端）后复现问题

核心问题根因（按发生概率从高到低排序） #

• Cookie跨域属性配置缺失，被浏览器默认规则静默拦截
  当前gorilla Session的配置仅设置了Secure和Path字段，没有显式定义SameSite属性。现代浏览器默认将未声明SameSite的Cookie值设为Lax，跨域带凭证的POST请求场景下，浏览器会直接拦截这类Cookie的写入，且不会在控制台输出显性报错——完全匹配当前观察到的现象。
• CORS响应头配置存在逻辑冲突
  一方面全局挂载了rs/cors中间件开启凭证支持，另一方面在登录接口中手动重复写入Access-Control-Allow-Origin、Access-Control-Allow-Credentials头，一旦两处配置的来源值不匹配、或者手动写入的头在部分响应分支被覆盖，浏览器会直接丢弃包含Set-Cookie的响应。
• 部署层协议透传缺失，导致Secure标记的Cookie被丢弃
  前端Nginx运行在Docker容器中、部署在Heroku平台时，Heroku的边缘反向代理默认会将HTTPS请求转成内部HTTP请求打到容器内。如果没有透传X-Forwarded-Proto标识，后端会默认认为请求是HTTP链路，虽然设置了Secure: true的Cookie，但浏览器侧因为请求协议匹配问题会直接拒绝写入；同时当前Nginx配置完全没有处理Cookie属性的透传逻辑，也可能在代理转发过程中改写或丢弃Set-Cookie字段。

对应修复方案 #

1. 补全gorilla Session的跨域兼容配置
   调整SessionStore的初始化参数，匹配现代浏览器的跨域Cookie规则：

   SessionStore.Options = &sessions.Options{
       Secure:   true,
       Path:     "/",
       SameSite: http.SameSiteNoneMode, // 跨域带凭证的强制要求
       MaxAge:   86400 * 7,
   }
   

   注意：SameSite=None的Cookie必须搭配Secure: true使用，且全链路请求必须走HTTPS协议，否则浏览器会直接拒绝写入。
2. 统一CORS响应头的写入逻辑
   删除登录接口中手动设置的两个Access-Control-*头，全部由rs/cors中间件统一处理。保持当前配置中AllowedOrigins为明确域名、AllowCredentials: true的设置即可，不要使用通配符*作为允许的来源。
3. 补全Nginx的代理透传配置
   如果前端Nginx承担静态资源服务、API请求由浏览器直接跨域调用后端，不需要额外修改静态资源配置；如果是Nginx反向代理转发API请求到后端，需补充协议透传配置，避免Cookie被代理层改写：

   server {
       listen $PORT default_server;
   
       location / {
           root   /usr/share/nginx/html;
           include  /etc/nginx/mime.types;
           try_files $uri $uri/ /index.html;
       }
   
       # 按实际API路径调整location规则
       location /api/ {
           proxy_pass 你的后端服务地址;
           # 透传原始请求协议标识
           proxy_set_header X-Forwarded-Proto $scheme;
           # 保持Cookie路径不被改写
           proxy_cookie_path / /;
       }
   }
   

效果验证方式 #

• 打开浏览器开发者工具的Network面板，定位登录接口的响应，确认Set-Cookie字段包含Secure; SameSite=None标记
• 检查响应头中Access-Control-Allow-Origin为实际的请求来源域名，Access-Control-Allow-Credentials值为true
• 打开浏览器Cookie存储面板，确认对应域名下的Cookie未被标记为“已拦截”

内容的提问来源于stack exchange，提问作者ID arar