NodeJS中HTTPS及saveUninitialized等Cookie配置不生效排查

我在NodeJS中使用以下代码配置Cookie：

const session = require('express-session');
const MongoDBStore = require('connect-mongodb-session')(session);

const max_session_ms = 365 * 24 * 60 * 60 * 1000;

// Initialize mongodb session storage to remember users.
const store = new MongoDBStore({
  uri: MONGO_URI,
  expires: max_session_ms,
});


// Enable sessions using encrypted cookies
app.use(
  session({
    cookie: {
      maxAge: max_session_ms,
      sameSite: "lax",
    },
    store: store,
    secret: "some secret",
    signed: true,
    resave: true,  // Resave when user visits again and extend expiration date.
    saveUninitialized: false,  // Save only explicitly, e.g. when logging in.
    httpOnly: true,  // Don't let browser javascript access cookies.
    secure: true, // Use cookies over https.
  })
);

在通过HTTPS访问带有SSL证书的生产服务器时，Safari中Cookie的HttpOnly已勾选，但Secure未勾选；浏览器收到的Set-Cookie头也无Secure标记。此外，尽管设置了saveUninitialized: false，MongoDB仍为所有访问（如爬虫）存储会话，已产生150万条无用户会话，仅1000条有效用户会话。

更新：使用curl测试，访问主域名因重定向无Set-Cookie头，访问目标URL https://ginja.org/pt/inicio时可看到无Secure标记的Set-Cookie头。

请问我的Cookie配置是否正确？若正确，该如何调试此问题？

一、现有配置的错误点 #

你的配置存在两处关键问题：

1. secure和httpOnly属性位置错误：这两个属性属于cookie对象的子配置，你当前将它们放在了session配置的根层级，express-session只会读取cookie对象内的对应属性，根层级的配置会被忽略，这就是Secure标记不生效的直接原因。
2. saveUninitialized不生效的潜在诱因：除了配置本身，可能存在代码或中间件在请求周期中无意识修改了req.session（比如添加空属性），导致express-session判定会话已初始化，触发存储；另外connect-mongodb-session的expires配置也可能和会话初始化逻辑冲突。

二、修正后的正确配置 #

const session = require('express-session');
const MongoDBStore = require('connect-mongodb-session')(session);

const max_session_ms = 365 * 24 * 60 * 60 * 1000;

const store = new MongoDBStore({
  uri: MONGO_URI,
  expires: max_session_ms,
});

app.use(
  session({
    cookie: {
      maxAge: max_session_ms,
      sameSite: "lax",
      httpOnly: true,  // 移至cookie对象内
      secure: true,     // 移至cookie对象内
    },
    store: store,
    secret: "some secret",
    signed: true,
    resave: true,
    saveUninitialized: false,
    trustProxy: true, // 新增：信任反向代理传递的HTTPS标识
  })
);

三、调试与验证步骤 #

针对Secure标记不生效问题 #

1. 确认反向代理环境：如果服务器使用Nginx等反向代理，代理会将HTTPS请求转为HTTP转发给Node服务，此时express-session会认为当前是HTTP环境，自动跳过secure: true配置。添加trustProxy: true后，Express会信任代理传递的X-Forwarded-Proto头，正确识别HTTPS环境。
2. curl验证响应头：重新请求目标URL，检查Set-Cookie头是否包含Secure标记：

   curl -v https://ginja.org/pt/inicio
   

3. 环境变量适配：如果需要兼容本地HTTP开发环境，可以用环境变量动态控制secure属性：

   cookie: {
     // ...其他配置
     secure: process.env.NODE_ENV === 'production'
   }
   

针对saveUninitialized不生效问题 #

1. 排查req.session修改逻辑：搜索项目中所有修改req.session的代码，确保只有用户登录成功后才主动设置req.session.user等业务属性，避免中间件中无意识的修改（比如req.session.visited = true这类操作）。
2. 调整存储层配置：尝试移除MongoDBStore中的expires属性，统一用cookie.maxAge控制会话过期时间，避免存储层配置强制触发会话创建。
3. 添加会话创建日志：通过genid钩子记录会话创建的请求信息，定位触发无效会话的来源：

   session({
     // ...其他配置
     genid: (req) => {
       console.log(`会话创建：${req.method} ${req.originalUrl}，IP：${req.ip}`);
       return require('crypto').randomBytes(16).toString('hex');
     }
   })
   

4. 清理无效会话：通过MongoDB命令或存储层API清理无用户信息的会话：
   • MongoDB命令：

     db.sessions.deleteMany({ "session.user": { $exists: false } })
     

   • 代码调用：

     store.clearExpiredSessions((err) => {
       if (err) console.error('清理过期会话失败：', err);
     });
     

内容的提问来源于stack exchange，提问作者ginjaemocoes