AWS ALB Cookie的HttpOnly和Secure标志设置问题

嘿，这个问题我之前帮不少开发者处理过，AWSALBTG和AWSALBTGCORS是Application Load Balancer（ALB）用于会话粘滞的内置Cookie，要把它们的HttpOnly和Secure标志设为true其实并不复杂，我分两种操作方式给你详细说明：

通过AWS控制台设置 #

• 打开AWS EC2控制台，在左侧导航栏找到目标组（Target Groups）
• 选中你需要配置的目标组，切换到**Attributes（属性）**标签页
• 滚动到**Cookie configuration（Cookie配置）区域，点击Edit（编辑）**按钮
• 在弹出的编辑窗口里，找到HttpOnly和Secure这两个选项，把它们的开关都切换为true
• 确认配置无误后，点击**Save changes（保存更改）**即可

通过AWS CLI设置 #

如果你习惯用命令行操作，可以直接执行modify-target-group-attributes命令，记得替换成你自己的目标组ARN：

aws elbv2 modify-target-group-attributes \
  --target-group-arn arn:aws:elasticloadbalancing:us-east-1:123456789012:targetgroup/my-target-group/abc123 \
  --attributes Key=cookie.http_only,Value=true Key=cookie.secure,Value=true

一些重要的注意事项 #

• 这些配置是目标组层面的，所有关联该目标组的ALB都会自动应用这个Cookie设置
• 只有Application Load Balancer支持这些Cookie属性配置，Network Load Balancer（NLB）不具备这个功能
• 设置生效后，新生成的Cookie才会带有HttpOnly和Secure标志，已存在的旧Cookie不会自动更新，建议用户清理浏览器缓存或等待Cookie过期后再验证效果

备注：内容来源于stack exchange，提问作者AppSensei