proxy_cookie_domain用于精准替换后端set-cookie响应头中的domain值，使其匹配用户实际访问域名；必须配合cors凭据配置及secure/samesite等属性才能实现跨域cookie正常收发。
直接用 proxy_cookie_domain 修改后端 Set-Cookie 响应头里的 Domain 字段，就能让浏览器在用户访问的域名下正常存、发 Cookie。它不改请求头，也不动 Cookie 内容，只精准替换那个“写错”的 Domain 值。
什么时候必须配它
只有后端响应中明确写了 Domain=xxx，且这个 xxx 和用户实际访问的域名对不上时，才需要干预：
- 后端返回
Set-Cookie: token=abc; Domain=10.0.1.5，用户却在admin.example.com打开页面 → 浏览器直接丢弃 - 后端返回
Set-Cookie: sid=123; Domain=backend.local，而 Nginx 入口是app.test.com→ 同样失效 - 后端没写 Domain，但响应头 Host 是内网地址（如
Host: 192.168.1.100），浏览器会据此推导出非法 Domain → 仍需处理 - 后端已设
Domain=.example.com，且所有前端都在 example.com 下 → 通常不用配
静态替换：最常用也最稳妥
适用于后端 Domain 值固定、可预知的场景。指令必须放在 location 块内，且在 proxy_pass 之后：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 把
Domain=192.168.1.20改成通配子域格式：proxy_cookie_domain 192.168.1.20 .example.com; - 把
Domain=backend.local替换为对外主域：proxy_cookie_domain backend.local .example.com; - 注意目标域名前的点号不能省 ——
.example.com表示www.example.com、api.example.com等所有子域都能读取；写成example.com（无点）只精确匹配该一级域名
正则匹配：应对模糊或动态情况
当后端可能返回多种 Domain 格式（如 api.example.com、.api.example.com、localhost:8080），静态替换容易漏，这时用正则一次覆盖：
- 统一收口到主域：
proxy_cookie_domain ~\.?api\.example\.com .example.com; - 清空原有 Domain 并强制设为目标值：
proxy_cookie_domain "" .example.com; - 匹配带端口的内网地址：
proxy_cookie_domain ~\b192\.168\.1\.20:\d+\b .example.com; - 正则中点号要转义（
\.），括号要反斜杠转义（\(、\)），否则会报错
配套配置缺一不可
proxy_cookie_domain 单独启用不会让跨域 Cookie 正常工作，还必须同步满足：
- 后端响应头含
Access-Control-Allow-Origin: https://app.example.com（不能是*） - 后端响应头含
Access-Control-Allow-Credentials: true - 前端请求开启凭据：
fetch(url, { credentials: 'include' }) - 若走 HTTPS，Cookie 必须带
Secure；现代浏览器要求跨站 Cookie 配SameSite=None - 如需调整 Cookie 路径，搭配
proxy_cookie_path / /;
