如何在HTTPS环境下配置express-sessions的安全Cookie？

我的React站点由Express后端提供服务，部署在Render平台，访问路径为myUrl.com/website，根路径请求会映射至/website。本地环境下，当sessionData中Cookie的secure属性设为false时一切正常，但设为true后（无论是Render生产环境还是本地HTTPS自签名证书场景），均无Cookie发送。我仅使用Cookie追踪会话，且确认Render生产环境中secure值已设为true。我认为这不应该是跨域问题，但不确定是否与Render平台有关。

以下是相关代码配置：

app.js代码 #

'use strict';

const wRoutes = require('./routes/website');

const port = process.env.PORT || 3001;

app.use(express.static(path.join(__dirname, 'public')));

const securityHeaders = {
  'Strict-Transport-Security': 'max-age=31536000; includeSubDomains',
  'Content-Security-Policy': "default-src 'self'",
  "X-Frame-Options":"DENY",
  'X-Content-Type-Options':'nosniff',
  'Referrer-Policy': 'no-referrer',
  'Permissions-Policy':"'self'" // 我觉得这个可能不对，但应该不重要？
}
app.use((req,res,next)=>{ 
    res.set(securityHeaders);
    next();
})

app.use('/website', wRoutes);

app.get('/',(req,res)=>{
    res.sendFile(path.join(__dirname,'public','index.html'));
})

app.listen(port, ()=>{
    console.log(`Server listening on port ${port}`);
});

wRoutes代码 #

const session = require('express-session');

const Sequelize = require('sequelize');
const SequelizeStore = require('connect-session-sequelize')(session.Store);

const sequelize = new Sequelize('personal_budget_database','admin',process.env.DB_PASSWORD,{
    host: process.env.DB_HOSTNAME,
    dialect: 'postgres',
    logging: false,
    dialectOptions: {
        ssl: {
            require: true,
            rejectUnauthorized: false
        }
    }
})

const store = new SequelizeStore({
    db: sequelize,
    checkExpirationInterval: 15 * 60 * 1000,
    expiration: sessionExpiration
})

const sessionData = {
    secret: process.env.APP_SECRET,
    cookie: {
        domain: '.myUrl.com',
        maxAge:sessionExpiration,
        //secure:process.env.NODE_ENV === 'production',
        secure: true,
        httpOnly:true,
        sameSite: 'None'
    },
    saveUninitialized:true,
    resave: false,
    store: store
};
const corsOptions = {
    origin: 'https://www.myUrl.com',
    credentials: true,
    allowedHeaders: ["Set-Cookie"]
}

wRoutes.use(cors(corsOptions));

wRoutes.use(session(sessionData));

pb.use((req,res,next)=>{
    res.setHeader('Access-Control-Allow-Credentials',true);
    res.setHeader('Access-Control-Allow-Origin','https://myUrl.com');
    next();

});

前端请求代码 #

const retrieveAllData = async () => {
        const url = '/website/api';
        const response = await fetch(url,{credentials:'include'});
        
    }

可能的原因及修复方案 #

1. Render反向代理导致secure Cookie不生效 #

Render平台使用反向代理，Express默认不会识别代理后的HTTPS请求，即使实际是HTTPS，req.secure仍会返回false，导致secure: true的Cookie无法被设置。
修复：在app.js开头添加：

app.set('trust proxy', 1);

这会让Express信任Render代理的X-Forwarded-Proto头，正确识别HTTPS请求，从而正常发送secure Cookie。

2. CORS配置冲突 #

wRoutes中同时使用cors(corsOptions)和手动设置Access-Control-Allow-Origin，会导致响应头重复或不一致。
修复：保留一种配置即可，建议优化corsOptions以匹配实际访问域名，同时删除手动设置头的中间件：

const corsOptions = {
  origin: (origin, callback) => {
    const allowedOrigins = ['https://myUrl.com', 'https://www.myUrl.com'];
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Not allowed by CORS'));
    }
  },
  credentials: true,
};

3. 本地HTTPS自签名证书问题 #

浏览器会将自签名证书视为不安全连接，即使设置secure: true，也不会保存或发送Cookie。
修复：在Chrome中开启chrome://flags/#allow-insecure-localhost允许不安全的localhost，或使用mkcert生成可信的本地证书。

4. Cookie的domain设置问题 #

若前端从myUrl.com访问，Cookie的domain设为.myUrl.com虽理论上兼容，但同域场景下可直接删除domain配置，让浏览器自动使用当前域名，避免潜在的匹配问题。

内容的提问来源于stack exchange，提问作者Adam Jones