proxy_cookie_domain是必要环节，用于在反向代理响应中重写Set-Cookie的domain值以匹配前端域名，解决跨域Cookie失效问题；需配合正则匹配、path适配及SameSite/Secure属性一致配置。
反向代理环境下 Cookie 跨域认证失效，本质是后端 Set-Cookie 中的 domain 属性与浏览器当前页面源不匹配，导致浏览器拒绝存储或发送该 Cookie。proxy_cookie_domain 是 Nginx 提供的关键指令，专用于在反向代理转发响应时重写 Set-Cookie 头中的 domain 值，从而对齐前端访问域名，解决认证中断问题。
为什么 proxy_cookie_domain 是必要环节
当用户访问 https://app.example.com，Nginx 反代到后端 http://127.0.0.1:8080（如 Spring Boot 服务），而后端设 Cookie 时若写 Domain=127.0.0.1 或留空（默认为响应 Host），浏览器会因 domain 不匹配而丢弃该 Cookie。即使 CORS 和 credentials 都配对，Cookie 本身无法落盘，后续请求自然无认证凭据。
proxy_cookie_domain 不修改请求逻辑，只在响应流出 Nginx 前精准替换 Set-Cookie 的 domain 字段，属于“无感修复”，无需改动后端代码。
正确配置 proxy_cookie_domain 的三要素
必须同时满足以下三点，否则仍可能失效：
-
明确指定新 domain 值：例如
proxy_cookie_domain ~\.?example\.com $host;或更稳妥的proxy_cookie_domain ~\.?example\.com ".example.com";（注意开头的点和引号，表示一级域名及所有子域可共享） -
确保 path 也适配：配合
proxy_cookie_path / "/";，避免后端设置的 path（如/api/）导致 Cookie 仅限子路径生效 -
保留 SameSite 和 Secure 属性一致性：若前端走 HTTPS，后端 Cookie 必须设
Secure; SameSite=None，Nginx 不会自动补这些字段，需后端输出或用proxy_cookie_flags（Nginx 1.19.3+）追加
典型失效场景与对应配置
常见错误配置导致 Cookie 仍不生效：
- 写成
proxy_cookie_domain localhost example.com;—— 第一个参数是正则匹配源 domain，不是后端地址；localhost 不在 Set-Cookie 中出现，规则不触发 - 漏掉点号，写
proxy_cookie_domain example.com ".example.com";—— 浏览器将拒绝example.com域名下设置的 Cookie 给www.example.com使用 - 前后端协议不一致（如前端 HTTPS，后端 HTTP），但 Cookie 缺少
Secure标志 —— 即使 domain 修正，浏览器也会静默丢弃
配套必须开启的其他 Nginx 设置
proxy_cookie_domain 单独启用无效，需组合以下配置：
-
proxy_pass https://backend;（推荐用 HTTPS 反代，避免中间降级） -
proxy_set_header Host $host;和proxy_set_header X-Real-IP $remote_addr;（保持原始上下文） -
add_header 'Access-Control-Allow-Origin' 'https://app.example.com';add_header 'Access-Control-Allow-Credentials' 'true';（CORS 显式放行凭证） -
proxy_cookie_flags ~ samesite=lax secure;（Nginx 1.19.3+ 支持，强制补安全标记）
