Node.js代理服务器后Secure与HttpOnly Cookie的传输及配置疑问

我来帮你把这个问题掰明白——当你的Node.js应用部署在代理服务器后面时，带HttpOnly和Secure标记的Cookie确实需要特定配置才能正确在请求中传递，而X-Forward-Proto正是解决这个问题的核心环节。

核心原因：Secure Cookie的协议依赖 #

Secure标记的Cookie只会在HTTPS请求中被浏览器发送，但大部分代理服务器（比如Nginx、Apache）会以HTTP协议和你的Node应用通信（即使用户浏览器和代理之间是HTTPS）。这时候如果Node应用不知道原始请求是HTTPS的，就会出现两个问题：

• 应用不会正确设置Secure Cookie（因为它认为当前是HTTP环境）
• 即使你强制设置了secure: true，浏览器会因为“从代理到Node是HTTP”的误解，拒绝在请求中携带这个Cookie

而X-Forward-Proto就是代理服务器传递给Node应用的一个头信息，用来告诉应用用户发起的原始请求是HTTP还是HTTPS。

你的代码需要调整的关键配置 #

看你贴的代码，已经做了第一步正确的配置：app.set('trust proxy', 1)——这告诉Express要信任第一个代理服务器传递的所有头信息，是后续配置生效的前提。

但你漏了一个关键的session配置：把注释掉的proxy: true打开！这个参数会让session中间件知道应用运行在代理环境中，自动根据X-Forwarded-Proto头来判断是否应该发送Secure Cookie。

调整后的完整代码示例：

process.env.NODE_ENV = 'production';
if (app.get('env') === 'production') {
  app.set('trust proxy', 1) // trust first proxy
}
app.use(session({
  store: new RedisStore({host: '127.0.0.1', port: 6379, client: client, ttl: 3600}),
  key: 'sid',
  secret: 'abcde',
  resave: false,
  saveUninitialized: false,
  proxy: true, // 必须打开这个配置！
  cookie: {
    secure: true,
    httpOnly: true,
    maxAge: 3600000
  }
}));

额外注意：代理服务器的配置 #

别忘了确保你的代理服务器已经配置了传递X-Forwarded-Proto头。比如用Nginx的话，需要在反向代理的配置块里加上：

proxy_set_header X-Forwarded-Proto $scheme;

这样Node应用才能拿到正确的原始请求协议信息。

至于HttpOnly标记，只要你在cookie配置里设置了httpOnly: true，浏览器就会自动在请求头中携带这个Cookie，并且禁止前端JavaScript访问它——这个标记的生效和代理服务器没有直接关系，只要Cookie被正确设置，浏览器就会遵守规则。

内容的提问来源于stack exchange，提问作者James Lei