如何在AppSync响应中设置HttpOnly类型的Set-Cookie响应头？

嘿，我来帮你搞定这个问题！AppSync默认的响应映射模板确实没法直接设置Set-Cookie头，但我们可以通过Lambda数据源配合响应模板的调整来实现，具体步骤如下：

1. 用Lambda处理授权并返回Cookie信息 #

首先，你需要把授权逻辑放到Lambda函数里（比如验证用户凭证、生成会话Cookie等），Lambda的返回结果要同时包含业务数据和Cookie的配置内容，示例代码如下：

exports.handler = async (event) => {
  // 这里写你的授权逻辑，比如验证token、生成会话ID等
  const sessionId = "your-generated-session-id";
  
  // 构造Cookie字符串，记得加上HttpOnly，生产环境建议加Secure和SameSite
  const cookie = `sessionId=${sessionId}; HttpOnly; Path=/; Secure; SameSite=Strict`;
  
  return {
    data: {
      // 这里是你的业务返回数据，比如用户信息
      userId: "123",
      username: "john_doe"
    },
    cookie: cookie
  };
};

2. 修改AppSync的响应映射模板 #

把原来的$util.toJson($context.result)替换成下面的模板，先添加Set-Cookie响应头，再返回业务数据：

# 检查Lambda返回结果里是否包含cookie字段
#if($context.result.cookie)
  # 添加Set-Cookie响应头
  $util.http.addResponseHeader("Set-Cookie", $context.result.cookie)
#end
# 返回业务数据的JSON格式
$util.toJson($context.result.data)

关键注意事项 #

• CORS配置：确保你的AppSync API的CORS设置允许携带Cookie，也就是在API设置的CORS部分，把Allow credentials设为true，同时Allowed origins要指定你的前端域名（不能用*）。
• 安全属性：生产环境一定要加上Secure属性（只有HTTPS请求才会携带这个Cookie），以及SameSite属性（防止CSRF攻击），不要只加HttpOnly。
• 数据源类型：如果你用的是DynamoDB等非Lambda数据源，没法直接返回Cookie信息，建议先通过Lambda中转处理授权逻辑，再返回带Cookie的结果。

这样调整后，AppSync的响应就会带上Set-Cookie头，浏览器会自动保存这个HttpOnly Cookie，后续请求就会自动携带它来完成授权啦！

内容的提问来源于stack exchange，提问作者Константин Костылев