nginx代理下cookie domain丢失导致登录失效，主因是后端set-cookie的domain值（如localhost、内网ip）不匹配公网域名；需检查响应头、透传host、用proxy_cookie_domain重写domain或proxy_cookie_path调整路径。
排查 Nginx 代理转发时 Cookie 域（domain）丢失导致登录失效，关键在于确认浏览器是否成功接收并携带了后端设置的 Set-Cookie 头中的 domain 属性，以及该属性是否与当前访问域名匹配。问题常表现为：能进登录页、输入账号密码后页面无跳转或反复回退到登录页——本质是登录成功后服务端下发的会话 Cookie 没被浏览器保存，后续请求不带 JSESSIONID 或 PHPSESSID 等关键标识。
检查响应头中 Set-Cookie 的 domain 是否被后端错误设为内网地址
后端（如 Tomcat、Spring Boot）默认可能将 Set-Cookie 的 Domain 属性设为 localhost 或 127.0.0.1，甚至写死为 192.168.x.x。这类 domain 值无法匹配你对外提供的域名（如 www.example.com），浏览器直接忽略该 Cookie。
- 用浏览器开发者工具 → Network → 登录请求 → Response Headers → 查看
Set-Cookie字段，重点找Domain=...部分 - 若出现
Domain=localhost或Domain=10.0.1.5等非公网域名，即为根源 - 临时验证：在浏览器地址栏手动访问后端真实地址（如
http://192.168.1.100:8080/login），看能否正常登录并保持会话——若可以，说明后端配置未适配代理场景
用 proxy_cookie_domain 重写 Cookie 的 domain 属性
当确认后端设置了错误 domain，又不便修改后端代码时，Nginx 可在响应返回前动态替换 Set-Cookie 中的 Domain 值。
- 语法：
proxy_cookie_domain <source><replacement>;</replacement></source> - 例如后端设了
Domain=localhost，而你用app.example.com访问，则加配置：proxy_cookie_domain localhost app.example.com; - 若后端未显式设置 domain（即响应头中
Set-Cookie不含Domain=），该指令无效，此时需配合后端开启「自动推导 domain」或改用proxy_cookie_path+ 路径对齐方案 - 注意：该指令只作用于
Set-Cookie头中的Domain字段，不影响Path或Secure等其他属性
确认 Host 请求头是否透传正确
后端常根据 Host 请求头决定生成 Cookie 的 domain。若 Nginx 未透传或覆盖了原始 Host，后端可能误判当前域名，从而写出错误 domain。
- 必须包含：
proxy_set_header Host $host;（不是$http_host，除非你明确需要端口） - 避免写成：
proxy_set_header Host $server_name;或硬编码为proxy_set_header Host backend.example.com; - 验证方法：在后端日志或调试接口中打印收到的
Host请求头值，确认是否为你对外的域名（如app.example.com）
排除 Path 不匹配引发的“假 domain 丢失”
很多所谓“domain 丢失”实际是 Path 不一致导致 Cookie 根本没被浏览器发送——浏览器只在 URL path 以 Cookie path 为前缀时才附带该 Cookie。
- 比如后端返回
Set-Cookie: JSESSIONID=xxx; Path=/admin/，但用户访问的是https://app.example.com/，则该 Cookie 不会被携带 - 用
proxy_cookie_path /admin /;将后端的/adminpath 替换为根路径/ - 配合浏览器 DevTools → Application → Cookies，查看当前域名下是否真有该 Cookie，以及它的
Path和Domain值
