nginx轮询模式下cookie“被篡改”实为传输链路问题，非nginx主动修改；需聚焦“谁在写、谁在传、谁在读”三环节，排查覆盖、截断、解析失败或配置错位导致后端收到非原始值。
轮询模式下 Cookie 被“篡改”，实际极少是 Nginx 主动修改了 Cookie 值，绝大多数情况是：Cookie 在传输链路中被覆盖、截断、解析失败、或因配置错位导致后端收到的不是原始值。排查需聚焦“谁在写、谁在传、谁在读”三个环节，而非默认 Nginx 有恶意行为。
确认 Cookie 是否真被篡改
先验证现象是否属实：
- 用浏览器开发者工具 → Network → 点击一个带登录态的请求 → 查看 Request Headers 中的 Cookie 字段，记录原始内容（如
sid=abc123; token=xyz789） - 再查看该请求对应的 Response Headers 中的 Set-Cookie，确认后端返回的是否与预期一致（比如没多出 domain/path 错误、没意外覆盖）
- 开启 Nginx
error_log和access_log，并在 location 块中添加：log_format debug '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_cookie" "$sent_http_set_cookie"';
再配合access_log /var/log/nginx/debug.log debug;，可直接看到进来的 Cookie 和发出的 Set-Cookie 原始字符串
检查 proxy_set_header 对 Cookie 的透传逻辑
Nginx 默认不自动透传 Cookie，若手动写了错误的重写规则，就容易“篡改”：
- 避免使用
proxy_set_header Cookie $http_cookie;—— 这会把全部原始 Cookie 原样转发，但若前端混杂了多个域名（如 www.example.com + api.example.com）的 Cookie，后端可能解析错乱 - 更安全的做法是显式提取关键字段，例如：
map $http_cookie $safe_cookie {<br> default "";<br> "~*sid=([^;]+)" "$1";<br> "~*token=([^;]+)" "$1";<br>}
再在 location 中：proxy_set_header Cookie "sid=$safe_cookie; token=$safe_cookie"; - 若用了
underscores_in_headers on;，注意某些含下划线的 Cookie 名（如user_id）可能被忽略，建议统一用中划线或驼峰
排查后端响应 Cookie 被 Nginx 重写或覆盖
Nginx 可能无意中修改了后端 Set-Cookie 头，常见于以下配置：
-
proxy_cookie_path写错范围：例如后端返回Path=/auth，你配了proxy_cookie_path / "/";，结果 Path 被强行改成根路径，导致 Cookie 在非 / 路径下不发送 -
proxy_cookie_domain强制设值：如proxy_cookie_domain ~^(.*)$ ".example.com";，会覆盖后端原本正确的 domain，造成跨子域失效 - Nginx 1.19.3+ 使用
proxy_cookie_flags时未加条件判断，例如：proxy_cookie_flags ~ secure samesite=none;若误用于 HTTP 环境，Secure 属性会让浏览器直接丢弃 Cookie - 多个 location 块嵌套或继承冲突：比如外层 server 设了
proxy_cookie_path，内层又重复定义，后者会覆盖前者
排除轮询本身引发的“伪篡改”假象
轮询不带粘性时，用户两次请求落到不同后端节点，各节点生成的 Session ID 不同，浏览器 Cookie 看似“变来变去”，实为后端不一致：
- 用
curl -I -b "sid=abc123" http://vip/api/test多次请求，观察响应头中Set-Cookie: sid=...是否每次都不一样——若是，说明后端未共享 Session，不是 Cookie 被篡改，而是会话分散 - 临时启用
ip_hash或sticky cookie route，再测试同一 IP 是否始终收到相同 sid，可快速验证是否为负载策略问题 - 检查后端是否启用了自动 Session 清理（如 Tomcat 的
maxInactiveInterval过短），导致旧 Cookie 被服务端主动失效，触发新生成
