排查Nginx下Cookie跨域或丢失导致的会话中断，需按浏览器行为链条四步验证：前端是否发、Nginx是否改、后端是否收、服务是否认。
排查 Nginx 下因 Cookie 跨域或丢失引发的会话中断，关键不是“找哪条配置错了”，而是按浏览器行为链条逐层验证：前端是否发、Nginx 是否改、后端是否收、服务是否认。下面分四步直击核心。
看浏览器里 Cookie 存没存、带没带
打开开发者工具 → Application → Cookies，检查登录成功后的响应 Set-Cookie 头是否出现在列表中：
- 如果根本没出现：说明后端没设 Cookie，或被 Nginx 拦截/覆盖（比如 proxy_cookie_path 写错路径导致浏览器拒存）
- 如果出现了但 Path 是 /api，而你访问的是 /dashboard：浏览器不匹配前缀，不会自动带上 —— 此时需 proxy_cookie_path /api /;
- 如果 Domain 显示为 backend.com 或空白，而页面地址是 frontend.com：浏览器按同源策略丢弃 —— 需 proxy_cookie_domain 修正
- 点开 Cookie 查属性：若没有 Secure（HTTPS 环境下必须有）或 SameSite=None（跨域必需），Chrome 80+ 会静默拦截，即使存在也不发送
查 Nginx 响应头有没有补全关键属性
在 Network 面板里点登录请求 → Response Headers，确认 Set-Cookie 值是否已含所需字段：
- 正确示例：
Set-Cookie: sessionid=abc; Path=/; Domain=frontend.com; Secure; HttpOnly; SameSite=None - 若仍显示
SameSite=Lax或无Secure：说明 proxy_cookie_path 或 proxy_cookie_flags 没生效，检查是否写在 location 块内、是否在 proxy_pass 之后、Nginx 版本是否支持（proxy_cookie_flags 需 1.19.3+） - 若 Domain 还是后端域名：proxy_cookie_domain 指令未命中（常见于正则写错，比如用 localhost 匹配不到实际返回的 Domain 字段）
验跨域响应头是否合规
CORS 凭据机制是 Cookie 能跨域的前提，缺一不可：
- Access-Control-Allow-Origin 必须是具体域名（如
https://frontend.com），不能是* - Access-Control-Allow-Credentials 必须为
true，且必须和 Origin 同时存在 - 预检请求（OPTIONS）也得返回这两个头，否则浏览器直接拒绝后续请求
- 前端 fetch/AJAX 必须显式加
{ credentials: 'include' }，axios 要设withCredentials: true
确认请求是否落到同一台后端服务器
Cookie 正常发送且后端接收了，但第二次请求登录态失效？大概率是负载不粘：
- 检查 upstream 块是否启用
ip_hash；若用了 hash 指令，确认变量（如$http_x_forwarded_for）是否可信且已由上游代理正确设置 - 登录后立刻刷新页面，用 curl 或 Postman 模拟相同 Cookie 发请求，对比响应中的 Session ID 是否一致 —— 若不同，说明后端节点间 Session 未共享，需绑定路由
- Nginx 1.29.6+ 可尝试
sticky learn模式，比 IP 更精准识别 JSESSIONID 等会话标识
