express-session会话ID异常变更求助：跨请求sessionID不一致

核心原因 #

你设置了saveUninitialized: false，这个配置的作用是只有当session对象被主动修改（比如添加userId字段）时，才会将session持久化到存储中，并向客户端发送会话cookie：

• 登录接口中你设置了req.session.userId = findUsername.id，修改了session对象，所以session会被保存，客户端收到cookie后，后续登录请求会携带这个cookie，sessionID保持一致。
• 注册接口中如果没有修改session对象（比如没设置userId），session处于未初始化状态，不会被持久化。每次发起注册请求时，服务器都会创建一个新的临时session，用完就丢弃，所以sessionID每次都变，自然也看不到之前登录时设置的userId。

解决方案 #

根据你的业务需求选择以下方式：

1. 注册后自动登录（推荐）

如果注册完成后需要让用户直接处于登录状态，在注册接口中添加session修改逻辑，和登录接口一致：

// 注册接口逻辑示例
app.post('/auth/register', async (req, res) => {
  // 完成用户创建逻辑
  const newUser = await User.create(req.body);
  // 设置session数据
  req.session.userId = newUser.id;
  // 主动保存session
  req.session.save((err) => {
    if (err) return res.status(500).json({ error: err.message });
    res.json({ message: '注册成功', userId: newUser.id });
  });
  console.log(`Request session ID: ${req.sessionID}`);
});

这样注册后session会被持久化，后续请求的sessionID会和这次一致，也能拿到userId。

2. 注册后不登录，但保留sessionID

如果注册后不需要立即登录，但希望后续请求复用同一个sessionID，在注册接口中主动调用req.session.save()，即使没有修改session内容：

// 注册接口逻辑示例
app.post('/auth/register', async (req, res) => {
  // 完成用户创建逻辑
  await User.create(req.body);
  // 主动保存未修改的session，触发cookie发送
  req.session.save((err) => {
    if (err) return res.status(500).json({ error: err.message });
    res.json({ message: '注册成功' });
  });
  console.log(`Request session ID: ${req.sessionID}`);
});

这样服务器会将当前的空session持久化，客户端收到cookie后，后续请求会携带这个cookie，sessionID保持一致。

3. 临时调整saveUninitialized（不推荐）

如果只是测试需要，可以临时把saveUninitialized设为true，这样即使session未被修改，也会被持久化并发送cookie：

session({
  secret: "keyboard cat",
  store: myStore,
  resave: false,
  saveUninitialized: true, // 修改这里
  cookie: {
    maxAge: 24 * 60 * 60 * 1000,
    secure: false,
    httpOnly: true,
    sameSite: 'none'
  },
})

但这种方式会产生大量未被使用的空session，浪费存储资源，不建议在生产环境使用。

内容的提问来源于stack exchange，提问作者Kyle Zheng