同根域不同子域跨站Cookie设置及JWT验证问题求助

针对api.xyz.com和ui.xyz.com跨子域无法共享JWT Cookie的问题，以下是几个实用的解决办法：

1. 调整Cookie的Domain属性到根域 #

将后端设置Cookie时的Domain参数设为.xyz.com（注意开头的点，兼容新旧浏览器），这样所有子域（包括api.xyz.com和ui.xyz.com）都能读取这个Cookie。同时要配置以下属性确保安全和跨域可用性：

• Secure: true：仅在HTTPS连接下传输Cookie
• HttpOnly: true：防止前端JS读取Cookie，避免XSS风险
• SameSite: Lax（或None，如果API和前端是跨域HTTPS且需要第三方Cookie支持）：控制Cookie跨域发送规则

注意：根域已有的服务要确保不会和你的JWT Cookie重名（比如把你的Cookie命名为api_jwt_token），避免互相干扰。

2. 前端手动在请求头携带JWT #

如果调整根域Cookie有冲突风险，可以让前端主动携带JWT到API请求：

• 登录成功后，后端除了设置Cookie，同时将JWT返回在响应体中，前端将其存储在内存（而非localStorage/sessionStorage，减少XSS风险）
• 每次向API发送请求时，在请求头中添加Authorization: Bearer <your_jwt_token>
• API后端从请求头的Authorization字段提取JWT进行验证

如果需要持久化登录，可以单独设置一个HttpOnly的refresh_token Cookie（Domain设为.xyz.com），前端用这个Cookie请求新的access token，access token存在内存中使用。

3. 配置反向代理（同域转发API请求） #

如果共享主机支持反向代理，可以在ui.xyz.com下设置一个代理路径（比如ui.xyz.com/api），将该路径的请求转发到api.xyz.com：

• Apache环境（用.htaccess）：

RewriteEngine On
RewriteRule ^api/(.*)$ https://api.xyz.com/$1 [P,L]

• Nginx环境：

location /api/ {
    proxy_pass https://api.xyz.com/;
    proxy_set_header Host api.xyz.com;
    proxy_set_header X-Forwarded-For $remote_addr;
}

这样前端请求/api/xxx就等同于请求api.xyz.com/xxx，属于同域请求，ui.xyz.com的Cookie会自动携带，API后端就能读取验证。

4. 将API部署到ui.xyz.com的子路径 #

如果共享主机允许在ui.xyz.com下创建子目录，直接把API代码部署到ui.xyz.com/api路径下：

• 调整API框架的路由前缀为/api（比如Express中用app.use('/api', router)）
• 确保主机配置将子目录的请求指向API应用
  这种方案完全规避跨域问题，Cookie可以直接在同域下使用，是最省心的方案。

内容的提问来源于stack exchange，提问作者navinrangar