跨子域会话共享 (Cross-Subdomain Session Sharing)

2026-09-16 暂无评论

1. 一句话

要让「一次登录、同注册域下所有子域通用」，靠的是 Set-Cookie 的 Domain 属性。不写它，cookie 严格绑定当前主机——a.example.com 登过之后，b.example.com 还得再登一次。这不是浏览器的毛病，是作用域规则。

2. 症状

每个子域都要单独登录一次，明明背后是同一套凭证、同一个鉴权服务。
手机上的「免密码 / 记住登录」也不管用——密码管理器按 origin 存储，在 note.example.com 存的凭据不会被用到 map.example.com。
鉴权服务本身完全正常：签名密钥、会话格式、校验逻辑全对。只是浏览器不肯把 cookie 发过去。

3. 根因

Set-Cookie 不写 Domain 时，作用域是 host-only：只有主机名完全一致才会被发送。

Set-Cookie: admin_session=...; Path=/; HttpOnly; SameSite=Lax; Max-Age=86400
                                  ↑ 没有 Domain = 只管当前这一个主机

写上 Domain 后，作用域变成该域及其所有子域：

Set-Cookie: admin_session=...; Path=/; Domain=.example.com; HttpOnly; ...

`Domain` 取值	生效范围
不写	仅当前主机（host-only）
`Domain=example.com`	该域及其所有子域
`Domain=.example.com`	同上（前导点是历史写法，现代浏览器等价）
`Domain=a.example.com`	`a.example.com` 及其子域，不含 `example.com` 本身

两条硬约束：

不能跨注册域。 example.com 下发的 cookie，example.net 收不到。同一份代码要服务多个注册域时，必须按请求 Host 动态推导，写死会出现"串域"或"全部失效"。
不能是 IP 或 localhost。 浏览器会直接拒绝带 Domain 的 cookie。所以本地/内网调试路径必须有兜底，否则改造完本地就跑不起来。

4. 解法：按 Host 推导注册域

function domainAttr(req) {
  const host = String(req.headers.host || "").split(":")[0].toLowerCase();
  if (!host || host === "localhost" || /^[\d.]+$/.test(host)) return "";
  const parts = host.split(".");
  if (parts.length < 2) return "";
  return `; Domain=.${parts.slice(-2).join(".")}`;
}

三条兜底缺一不可：localhost 不下发、IP（^[\d.]+$）不下发、单段主机名不下发。返回空串时保持原有 host-only 行为，等于安全降级。

⚠️ 取「末两段」只适用于 .com / .chat / .net 这类单段后缀。遇到 .co.uk、.com.cn 这类多段公共后缀会算错（算出 .co.uk），必须改用公共后缀表（PSL）。

前提：反向代理要把原始 Host 透传给后端（nginx 的 proxy_set_header Host $host;），否则后端只看得到 127.0.0.1:3021，推导必然失败。

改完 Domain 之后，存量用户身上还留着历史 host-only 的 cookie。于是：

退出登录只清父域那份 → 旧 cookie 还在，页面看起来没登出。
浏览器发送 cookie 的顺序大致按创建时间早的在前，服务端若取第一个匹配项，还可能读到旧票据。

所以清除时必须同时下发两条：

const base = `${name}=; Path=/; HttpOnly; SameSite=Lax; Max-Age=0; Expires=Thu, 01 Jan 1970 00:00:00 GMT`;
res.setHeader("Set-Cookie", [base, base + domainAttr(req)]);  // host-only + 父域

新系统没这个包袱，可以只发一条；在有历史 cookie 的存量系统上，这条不能省。