如何在Koa应用与Express应用间共享Session Cookie？

问题 #

我用Koa v2搭建了一套API，基于koa-session实现Cookie Session认证，运行正常。目前正逐步迁移到以Express为服务器适配器的NestJS，要求两个API同时运行：Koa版API挂载在/v1前缀，NestJS版挂载在/v2前缀，这部分已经实现。

核心问题是：Express端使用的express-session与Koa端的koa-session实现逻辑不同，导致双方设置的Cookie无法互相识别。虽然两个API都用数据库存储Session，能正常读写会话数据，但在/v1登录后，会话无法在/v2生效，反之亦然。

请问有没有能同时兼容两者的库，或者至少让koa-session在Express环境中运行的方法？

当前配置代码 #

Koa端koa-session配置 #

const sessionConfig: Partial<session.opts> = {
  key: 'session' /** （字符串类型）Cookie键名（默认值为koa.sess） */,
  /** （数字或'session'类型）最大有效期（毫秒，默认1天） */
  /** 设置为'session'时，Cookie会在会话/浏览器关闭时过期 */
  maxAge: 30 * 24 * 60 * 60 * 1000,
  overwrite: true /** （布尔类型）是否允许覆盖（默认true） */,
  httpOnly: true /** （布尔类型）是否开启httpOnly（默认true） */,
  signed: true /** （布尔类型）是否签名（默认true） */,
  rolling: false /** （布尔类型）是否在每次响应时强制设置Session标识Cookie，重置有效期（默认false） */,
  renew: true /** （布尔类型）会话快过期时是否续期，保持用户登录状态（默认false） */,
  secure: !['test'].includes(stage) /** （布尔类型）是否为安全Cookie */,
  sameSite: ['production', 'test'].includes(stage)
    ? <const>'lax'
    : <const>'none' /** （字符串类型）sameSite选项（默认null） */,
  store: {
    get: pgsession.get,
    set: pgsession.set,
    destroy: pgsession.destroy,
  },
};

Express端express-session配置 #

session({
  secret,
  name: 'session',
  cookie: {
    maxAge,
    sameSite: ['production', 'test'].includes(stage)
      ? <const>'lax'
      : <const>'none' /** （字符串类型）sameSite选项（默认null） */,
    httpOnly: true,
    signed: true,
    secure: !['test', 'local'].includes(stage),
  },
  rolling: false /** （布尔类型）是否在每次响应时强制设置Session标识Cookie，重置有效期（默认false） */,
  store: new PostgresSession(),
  genid: () => {
    return uuid.v4();
  },
  resave: false,
  saveUninitialized: false,
})

解决方案建议 #

1. 统一Cookie与签名核心参数 #

先对齐两端的Cookie配置细节，消除基础差异：

• 确保两端使用完全相同的secret：因为都开启了signed: true，签名/验签逻辑依赖同一个密钥，否则无法互相解析对方的Cookie。
• 对齐secure参数：当前Koa端是!['test'].includes(stage)，Express端是!['test','local'].includes(stage)，需改成一致，避免不同环境下Cookie生效逻辑不一致。
• 确认maxAge、httpOnly、sameSite等参数完全匹配，确保Cookie的生命周期、安全属性一致。

2. 统一Session ID生成规则 #

当前Express端用uuid.v4()生成Session ID，而Koa端使用koa-session默认的ID生成逻辑（基于base64的随机字符串），两端ID格式不同会导致无法识别对方的会话。解决方法：

• 在Koa端配置自定义genid函数，和Express端一样返回uuid.v4()：

  // Koa session配置新增
  genid: () => uuid.v4(),
  

• 确保两端存储Session时，使用的Key就是生成的Session ID本身，不要添加额外前缀（部分库会自动加前缀，需检查存储层逻辑）。

3. 统一Session数据的序列化/反序列化逻辑 #

koa-session和express-session默认都会对Session数据做JSON序列化，但要确保：

• 两端存储到数据库的Session数据结构完全一致：比如koa-session可能会存储_expire、_maxAge字段，而express-session会存储expires、sessionId等字段，需自定义存储层的get/set方法，统一数据格式。
• 如果使用第三方Postgres存储库，确保两端用的是同一个库或兼容的数据格式（比如Koa端的pgsession和Express端的PostgresSession要对齐数据读写逻辑）。

4. 让Koa端兼容express-session（或反之） #

如果上述配置对齐后仍有问题，可以考虑让其中一端使用对方的Session中间件：

• 在Koa项目中使用适配层直接复用express-session的逻辑，这样两端Session处理完全统一，从根源上消除兼容性问题。
• 或者在NestJS（Express）中自定义Cookie解析中间件，手动解析koa-session生成的Cookie，再传递给express-session处理。

内容的提问来源于stack exchange，提问作者Gustavo Mendonça