proxy_cookie_flags 是最精准安全的 cookie secure 属性补漏方式，仅 nginx 1.19.3+ 原生支持，需 https 终止且后端已返回目标 cookie；支持精确匹配、正则匹配及多属性组合添加，不覆盖原有 domain/path/httponly 等字段。
可以直接用 proxy_cookie_flags 为匹配到的 Cookie 名称强制追加 Secure 属性，不干扰原有 Domain、Path、HttpOnly 等字段，是最精准、最安全的补漏方式。
确认前提条件
该指令仅在 Nginx 1.19.3+ 版本原生支持，旧版本需升级或改用 proxy_cookie_path 替代。同时必须确保：
- Nginx 终止 HTTPS（即监听 443 端口并配置有效证书），否则浏览器会拒绝接收带
Secure的 Cookie - 后端返回的 Set-Cookie 响应头中已包含目标 Cookie 名称（如
JSESSIONID、sessionid），且未被其他中间件过滤 - 指令置于
location块内、proxy_pass之后，顺序错误将失效
基础写法：按名称精确匹配
适用于已知固定 Cookie 名的场景，例如 Spring Boot 默认的会话 ID：
proxy_cookie_flags JSESSIONID Secure;proxy_cookie_flags sessionid Secure;proxy_cookie_flags auth_token Secure;
这样会在原有 Cookie 后追加 Secure，比如把 Set-Cookie: JSESSIONID=abc; Path=/api 变成 Set-Cookie: JSESSIONID=abc; Path=/api; Secure，其余字段完整保留。
进阶写法：正则匹配多名称
当后端可能返回多种命名风格（大小写混用、带前缀/后缀）时，用正则统一覆盖：
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 匹配常见会话标识（忽略大小写）：
proxy_cookie_flags ~* "^(sessionid|JSESSIONID|_session)$" Secure; - 匹配含
token字样的认证类 Cookie：proxy_cookie_flags ~* "token$" Secure; - 匹配以
auth_开头的所有 Cookie：proxy_cookie_flags ~* "^auth_" Secure;
注意正则表达式需用双引号包裹，~* 表示不区分大小写匹配。
组合增强：同时注入多个安全属性
可一次添加多个 flag，无需拆分多条指令：
- 会话类 Cookie 全启用：
proxy_cookie_flags ~* "^(sessionid|JSESSIONID)$" HttpOnly Secure SameSite=Lax; - CSRF Token 要求跨站可用：
proxy_cookie_flags ~* "^csrf_token$" SameSite=None Secure;（注意：SameSite=None必须搭配Secure） - 登录态 Cookie 宽松兼容：
proxy_cookie_flags ~* "^_session$" HttpOnly Secure SameSite=Lax;
所有属性都追加在原 Cookie 末尾，不会覆盖已有 Domain、Expires、Max-Age 等关键字段。
避坑要点
proxy_cookie_flags 不会修改 Cookie 的 Path 或 Domain，若后端返回的 Path 错位（如 Path=/api 但前端访问路径是 /app），仍需配合 proxy_cookie_path 对齐；它也不处理无名 Cookie 或响应中缺失 Set-Cookie 的情况，此时应检查后端逻辑或启用 add_header 兜底。
