proxy_cookie_domain 必须置于 location 块内且在 proxy_pass 之后才生效；server 级配置被忽略，因其依赖具体代理上下文。需配合 Access-Control-Allow-Credentials、Secure 和 SameSite=None 等设置确保跨域 Cookie 正常工作。
直接在 server 块里配 proxy_cookie_domain 通常无效——这个指令只在 location 块内、且必须放在 proxy_pass 之后才起作用。server 级别不支持该指令生效，强行写进去会被 Nginx 忽略。
为什么不能直接放 server 块
proxy_cookie_domain 是响应头重写指令，作用时机是 Nginx 接收后端 Set-Cookie 后、发给浏览器前。它依赖具体的代理上下文（比如哪个 upstream、走哪条路径），而 server 块太宽泛，没有明确的 proxy_pass 绑定，Nginx 无法确定要处理哪次代理响应。
官方文档明确说明其 Context 为 http / server / location，但实际生效仅限于启用了 proxy_pass 的 location 内；server 级配置即使语法不报错，也不会对任何 Set-Cookie 做修改。
正确写法：必须嵌套在 location 中
所有 proxy_cookie_domain 配置都应放在匹配接口路径的 location 块里，并紧随 proxy_pass：
- 静态替换（后端 Domain 固定）：
proxy_cookie_domain backend.local .example.com; - 正则匹配（兼容 api.example.com、.api.example.com 等）：
proxy_cookie_domain ~\.?api\.example\.com .example.com; - 清空原 Domain 并强制设主域（后端没设或设错）：
proxy_cookie_domain "" .example.com;
注意：.example.com 开头的点号不能省，否则只匹配精确域名，子域间无法共享 Cookie。
配套设置缺一不可
仅改 Domain 不足以让跨域 Cookie 工作，还需同步满足：
- 后端响应头含
Access-Control-Allow-Origin: https://example.com（不能是*） - 后端响应头含
Access-Control-Allow-Credentials: true - 前端请求开启凭据：
fetch(url, { credentials: 'include' }) - Cookie 自身带
Secure（HTTPS 环境）和SameSite=None（Chrome 80+）
常见误判场景
不是所有代理都要加 proxy_cookie_domain：
- 后端 Set-Cookie 没带 Domain 字段 → 浏览器按响应 Host 自动推导，若 Host 是内网地址（如 10.0.1.5），才需要干预
- 后端已设
Domain=.example.com→ 前端同主域站点可直接读取，无需 Nginx 替换 - 后端返回多个 Set-Cookie → 该指令会逐个处理每个 Domain 属性，但不支持条件跳过
