Nginx无法原生修改Set-Cookie中的Expires或Max-Age值，但可通过proxy_cookie_flags添加安全属性，或用sub_filter（需proxy_buffering off）文本替换过期字段，OpenResty+Lua则支持精准动态重写。
不能直接用 Nginx “修改”或“覆盖”后端 Set-Cookie 头中已声明的 Expires 或 Max-Age 值——Nginx 本身不提供重写 Cookie 过期时间的原生指令。但你可以通过组合策略，**让客户端实际遵循你设定的有效期**，从而达到“强制覆盖”的效果。
核心思路：拦截 + 重写 Set-Cookie 响应头
Nginx 没有 set_cookie 或 rewrite_cookie 指令，但可通过 proxy_cookie_path 和 proxy_cookie_flags（1.19.3+）间接控制；更通用可靠的方式是使用 sub_filter 模块进行响应体/响应头文本替换（需启用且注意性能）。
-
前提条件：确保 Nginx 编译时启用了
--with-http_sub_module（宝塔、OpenResty 默认含） -
关键限制：sub_filter 只作用于响应体（body），对响应头（headers）默认无效；要改 Set-Cookie 头，必须配合
proxy_buffering off+sub_filter_inject_part（较新版本）或使用 OpenResty 的 Lua 脚本精准操作
推荐方案：用 proxy_cookie_flags 控制安全属性（适用于 1.19.3+）
如果你只需统一添加 HttpOnly、Secure、SameSite，或**移除后端错误设置的过期参数**（如删掉 Max-Age=0），可用此方式：
location / {
proxy_pass http://backend;
proxy_cookie_flags ~ secure httponly samesite=Strict;
# 此配置会为所有 Set-Cookie 头自动追加指定 flag
# 但不会修改 Expires/Max-Age 数值本身
}
⚠️ 注意：proxy_cookie_flags 不改变有效期数值，只补安全标记。它无法把 Max-Age=1 改成 Max-Age=3600。
可行方案：用 sub_filter 替换 Set-Cookie 中的过期字段
适用于需彻底替换 Expires 或 Max-Age 的场景（例如后端硬编码了 Max-Age=10，你想改成 3600）：
- 关闭缓冲，确保响应流式可截获：
proxy_buffering off; - 启用 sub_filter 并匹配替换（大小写敏感）：
location / {
proxy_pass http://backend;
proxy_buffering off;
proxy_http_version 1.1;
proxy_set_header Connection '';
<pre class="brush:php;toolbar:false;"># 替换 Max-Age=10 → Max-Age=3600
sub_filter 'Max-Age=10' 'Max-Age=3600';
sub_filter 'max-age=10' 'max-age=3600';
sub_filter_once off;
# 若后端用 Expires，也可类似替换（注意日期格式复杂，慎用）
# sub_filter 'Expires=Thu, 01 Jan 1970 00:00:00 GMT' 'Expires=Wed, 21 Oct 2037 07:28:00 GMT';}
✅ 优点：无需 Lua，纯官方模块；❌ 缺点：正则能力弱、易误伤、不支持动态计算、对压缩响应（gzip）无效（需关 gzip 或用 gzip_disable）。
生产级建议：前端或后端协同控制
真正健壮的做法不是在 Nginx 层“打补丁”，而是推动源头治理：
- Java 应用：在 Spring Session 或 Servlet Filter 中统一设置
response.addCookie(...)的maxAge - Node.js：用
res.cookie('name', 'val', { maxAge: 3600000 }) - 若必须由 Nginx 托底，OpenResty + Lua 是最灵活选择：
header_filter_by_lua_block {<br> if ngx.var.upstream_http_set_cookie then<br> local new_cookie = string.gsub(ngx.var.upstream_http_set_cookie, "Max%-Age=%d+", "Max-Age=3600")<br> ngx.header["Set-Cookie"] = new_cookie<br> end<br>}
