CDN回源时因多子域共享根域Cookie导致会话错乱，需在Nginx回源入口通过map指令识别来源、proxy_set_header精准控制Cookie透传，并按子域分离upstream及配合CDN端策略实现隔离。
CDN 回源时，若客户端携带了多个域名共用的 Cookie（如根域 .example.com），而源站 Nginx 同时处理多个子站（如 www.example.com、api.example.com），就可能因 Cookie 混用导致会话错乱、身份识别错误或缓存污染。Nginx 本身不管理 Cookie 隔离，但可通过精准控制请求头实现回源层面的 Cookie 冲突规避。
明确回源场景与冲突根源
CDN（如 Cloudflare、阿里云 CDN、腾讯云 CDN）在缓存未命中时，会以自身 IP 向源站发起 HTTP 请求。此时常见问题包括：
- CDN 默认将客户端原始 Cookie 全量透传给源站（除非显式配置剔除）
- 多个子域共享根域 Cookie（如
Set-Cookie: sid=abc; Domain=.example.com），导致不同业务线的会话 ID 在源站被混读 - 源站 Nginx 无区分逻辑，所有子站请求统一转发给同一后端（如 PHP-FPM 或上游服务），造成会话覆盖
在 Nginx 回源入口处剥离/重写 Cookie
核心思路：让 Nginx 在接收 CDN 回源请求时，主动清理或重定向 Cookie，避免下游服务误用。关键配置在 server 块中，针对已知 CDN 回源 IP 段或 Host 头做判断：
- 使用
map指令按$host或$http_x_forwarded_for区分流量来源，生成隔离标识 - 用
proxy_set_header Cookie ""彻底清空 Cookie（适用于静态资源或无需会话的回源） - 更精细的做法是仅保留业务必需 Cookie：
proxy_set_header Cookie "$cookie_sid $cookie_token";
注意：需提前用map提取并校验这些变量，防止注入空格或恶意值 - 对 API 子域强制剥离用户态 Cookie：
if ($host ~ "^api\.") { set $upstream_cookie ""; }proxy_set_header Cookie $upstream_cookie;
按子域分离 upstream 与后端上下文
避免“一个 Nginx 实例通吃所有子站”，从架构上切断 Cookie 交叉风险：
- 为每个关键子域定义独立
upstream块，并在对应server中绑定特定后端（如upstream api_backend { server 10.0.1.10:8000; }） - 利用
proxy_pass http://$upstream_name动态路由，配合map根据$host设置$upstream_name变量 - 后端服务（如 Node.js 或 Go）可进一步通过
X-Original-Host或自定义头（如X-Subdomain-Context）识别调用方，隔离 session 存储命名空间
配合 CDN 端设置，减少源头污染
Nginx 是最后一道防线，但更优解是从 CDN 层收敛：
- 在 CDN 控制台关闭“透传 Cookie”开关，或仅放行指定 Cookie 名称（如
__cf_bm、cf_clearance等安全相关字段） - 对静态资源路径（
/static/、/images/）配置“忽略 Cookie”缓存策略，确保回源请求不含任何 Cookie - 为登录态接口（如
/auth/login）单独设置“不缓存 + 强制回源”，并在 Nginx 中对该 location 显式允许 Cookie，形成分级控制
本质上，Cookie 隔离不是靠加密或签名，而是靠传输链路的精准裁剪和上下文绑定。Nginx 的角色是可信边界守门人——它不解析 Cookie 内容，但能决定哪些键值该出现在回源请求里。只要厘清域名归属、明确各子站的会话边界，并在 Nginx 配置中落实 header 级别的过滤与路由，CDN 回源中的 Cookie 冲突就能被系统性规避。
