直接用 proxy_cookie_domain 重写后端 Set-Cookie 的 Domain 属性可解决域名不匹配导致 Cookie 被丢弃的问题；它仅修改 Domain，不处理 Cookie 请求头、Path 或 Secure 等字段。
直接用 proxy_cookie_domain 重写后端 Set-Cookie 中的 Domain 属性，就能让浏览器在前端域名下合法存储和发送 Cookie。它不修改请求头里的 Cookie，也不处理 Path 或 Secure 等其他字段，只专注解决“域名不匹配导致 Cookie 被丢弃”这个关键问题。
确认是否真需要 proxy_cookie_domain
不是所有代理场景都需要它。只有当后端响应中明确设置了 Domain=xxx，且该值与用户当前访问的前端域名不兼容时，才必须启用。
- 后端返回
Set-Cookie: sid=123; Domain=api.example.com，而用户打开的是shop.example.com→ 浏览器拒绝存，需替换 - 后端返回
Set-Cookie: sid=123（没设 Domain）→ 浏览器按响应头 Host 自动推导 Domain，此时若 Host 是内网地址（如10.0.1.5），仍会失效，也需干预 - 后端压根没返回 Set-Cookie，或返回的 Cookie 已带
Domain=.example.com→ 通常无需配置
基础静态替换写法
适用于后端 Domain 值固定、可预知的场景。指令必须放在 location 块内，且在 proxy_pass 之后。
- 把
Domain=backend.local改成Domain=.example.com：proxy_cookie_domain backend.local .example.com; - 把
Domain=192.168.1.20改为通配子域格式：proxy_cookie_domain 192.168.1.20 .example.com; - 注意点号不能省：写
.example.com表示允许所有子域读取；写example.com（无点）则只精确匹配该域名
正则匹配应对模糊或动态域名
当后端可能返回 Domain=api.example.com、Domain=.api.example.com、甚至 Domain=localhost 时，静态替换容易漏掉。用正则可一次覆盖多种格式：
- 统一收口到主域：
proxy_cookie_domain ~\.?api\.example\.com .example.com; - 清空原有 Domain 并强制设为指定值（适合后端未设 Domain 或设错）：
proxy_cookie_domain "" .example.com; - 匹配带端口的 upstream：
proxy_cookie_domain ~\b192\.168\.1\.20:8080\b .example.com;
必须同步配置的配套项
proxy_cookie_domain 单独启用无法让 Cookie 正常跨域工作，还需满足以下条件：
- 后端响应头含
Access-Control-Allow-Origin: https://example.com（不能是*） - 后端响应头含
Access-Control-Allow-Credentials: true - 前端请求开启凭据：
fetch(url, { credentials: 'include' })或xhr.withCredentials = true - Cookie 自身需带
Secure（HTTPS 环境下强制）和SameSite=None（Chrome 80+ 要求）
