proxy_cookie_domain 是 nginx 用于反向代理中重写 set-cookie 头 domain 属性的指令，使 cookie 适配用户访问域名而非后端原始域名，支持静态替换、通配符匹配、空值删除及基于变量的动态重写，并需配合 location 使用且不影响其他 cookie 属性。
proxy_cookie_domain 是 Nginx 的一个关键指令，用于在反向代理场景中动态修改上游服务 Set-Cookie 响应头里的 Domain 属性，让 Cookie 能正确作用于当前访问的域名（而非后端原始域名），从而解决跨域 Cookie 无法携带、登录态失效等问题。
核心作用：让后端发来的 Cookie “适配”当前请求域名
上游服务（比如 Python Flask 或 Java Spring Boot）通常设置 Cookie 的 Domain 为自身域名（如 Domain=backend.example.com），但用户实际访问的是代理入口（如 app.example.com）。浏览器会拒绝发送该 Cookie，因为域名不匹配。使用 proxy_cookie_domain 后，Nginx 会在转发响应时自动重写 Set-Cookie 头中的 Domain 字段，例如把 Domain=backend.example.com 改成 Domain=app.example.com 或更通用的形式。
基础用法：静态替换与通配符匹配
语法格式为：proxy_cookie_domain ;
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 若后端固定返回
Domain=backend.example.com，而你希望统一改成Domain=app.example.com，可写：proxy_cookie_domain backend.example.com app.example.com; - 支持通配符
*匹配任意子域或一级域：proxy_cookie_domain ~\.(.*)$ .example.com;—— 将所有以点开头的旧 Domain（如.api.example.com、.srv.internal）统一替换为.example.com - 空字符串表示删除 Domain 属性：
proxy_cookie_domain backend.example.com "";—— 这样浏览器会默认使用当前请求的主域名（即Host头值）作为 Cookie 域名，适合多租户或泛域名部署
动态适配：结合变量实现“按需重写”
真正灵活的方案是利用 Nginx 内置变量（如 $host、$http_host）做动态替换，尤其适用于同一套配置服务多个业务域名：
- 让 Cookie Domain 自动对齐用户访问的 Host：
proxy_cookie_domain ~^(.+)$ "$host";
注意正则必须带捕获组，且引号不能省略；$host是小写规范化后的 Host（无端口），适合大多数情况 - 限制只对特定域名生效，避免误改第三方接口的 Cookie：
if ($host ~ ^(app|portal)\.example\.com$) { set $cookie_domain $host; }<br>proxy_cookie_domain ~. $cookie_domain;
（注意：if 在 location 中慎用，推荐用 map 提前定义变量） - 更健壮的做法是用 map 提前映射：
map $host $upstream_cookie_domain {<br> default ""; # 默认不设 Domain，由浏览器推断<br> app.example.com "app.example.com";<br> portal.example.com "portal.example.com";<br>}
然后在 location 中：proxy_cookie_domain ~. $upstream_cookie_domain;
注意事项与常见坑点
这个指令只处理 Set-Cookie 响应头中的 Domain= 字段，不会影响 Path、Secure、HttpOnly 等其他属性。另外：
- 必须放在
location块中，且仅对本 location 的 upstream 生效 - 如果上游返回多个
Set-Cookie头，该指令会对每一个都尝试匹配和替换 - 当新 Domain 值以点开头（如
.example.com），表示允许子域共享；不加点（如example.com）则严格匹配主域 - 若后端 Cookie 已设
Domain=.example.com，而你又重写为Domain=app.example.com，会导致子域无法读取，需根据实际会话范围权衡 - 配合
proxy_cookie_path可进一步控制路径作用域，比如把Path=/api改为Path=/
