带Secure标记的Session Cookie无法设置问题排查求助

场景回顾 #

• 前端部署在Netlify，绑定域名example.com，使用域名注册商颁发的SSL证书
• 后端（NestJS）通过Docker部署在VDS，经Nginx反向代理到api.example.com，使用Let's Encrypt Certbot的SSL证书
• Cookie配置：sameSite = lax, domain = .example.com，但客户端无法安装带Secure标记的Session Cookie

可能遗漏的配置及解决方法 #

1. NestJS未信任反向代理的HTTPS标识 #

Nginx已经设置了X-Forwarded-Proto https，但NestJS默认不会信任代理发来的这个头部，会认为当前请求是HTTP协议。这种情况下，即使你手动设置了Secure标记，NestJS会自动移除它（因为框架判断当前环境不是HTTPS）。

解决：在NestJS的main.ts中启用信任代理：

// main.ts
async function bootstrap() {
  const app = await NestFactory.create(AppModule);
  // 信任所有代理（生产环境可指定具体IP更安全）
  app.enableTrustProxy();
  // 或者指定代理地址，比如Nginx所在的本地IP
  // app.enableTrustProxy('127.0.0.1');
  await app.listen(3333);
}
bootstrap();

2. 前端请求未携带凭证配置 #

如果前端是通过AJAX（fetch/axios）请求后端接口，需要显式配置携带凭证，否则浏览器不会保存后端返回的Cookie。

以axios为例：

axios.defaults.withCredentials = true;
// 或者单个请求配置
axios.post('/api/login', data, { withCredentials: true });

以fetch为例：

fetch('https://api.example.com/login', {
  method: 'POST',
  credentials: 'include', // 必须设置这个
  body: JSON.stringify(data)
});

3. Nginx代理头部补充 #

虽然现有配置已经包含了基础的代理头部，但可以补充以下配置确保完整性：

location / {
    proxy_pass http://localhost:3333;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto https;
    proxy_set_header X-Forwarded-Port 443; // 补充HTTPS端口
    proxy_pass_header Set-Cookie; // 显式传递Set-Cookie头部（默认通常会传，但防止被其他配置覆盖）
}

4. 浏览器Cookie策略验证 #

打开浏览器控制台的「Application」→「Cookies」面板，查看api.example.com下的Cookie状态：

• 如果Cookie被拦截，控制台会给出具体原因（比如SameSite不兼容、证书问题等）
• 测试时避免使用隐私模式，部分隐私模式会严格限制跨子域Cookie
• 确认example.com和api.example.com的SSL证书都没有浏览器警告（地址栏锁图标正常）

需要检查的关键文件 #

• NestJS项目的src/main.ts：代理信任配置
• 前端请求代码：凭证携带配置
• Nginx的全局配置文件（比如/etc/nginx/nginx.conf）：是否有全局proxy规则干扰当前server块

内容的提问来源于stack exchange，提问作者MrBlackLord