express-session跨站请求会话不持久化问题排查求助

问题背景 #

客户端/服务端架构 #

• 客户端（前端）：Vue (Vite)
• 服务端（后端）：Express.js

当前处于开发环境，仅使用http协议。后端通过cors和express-session处理安全请求：

• 登录时将有效user.id存入会话
• 请求受保护资源时通过会话验证用户

同域请求正常表现 #

通过Postman访问后端localhost:3000时，会话保持正常：

passport Login:
1bxcYuh83nhWy7k7SZ8JX7Bb2j58MaUx <----------------------------- session.id
Session {
  cookie: { path: '/', _expires: null, originalMaxAge: null, httpOnly: true }
}

passport protected resource:
1bxcYuh83nhWy7k7SZ8JX7Bb2j58MaUx <----------------------------- session.id
Session {
  cookie: { path: '/', _expires: null, originalMaxAge: null, httpOnly: true },
  user: { id: '1q2w3e4r5t' }
}

跨站请求失败表现 #

前端localhost:5173跨域请求后端localhost:3000时，每次请求生成新的session.id，导致会话验证失败：

passport Login:
Nk9GDYf8nypvpTa1kQCLdTS3WsOoCCt6 <----------------------------- session.id
Session {
  cookie: { path: '/', _expires: null, originalMaxAge: null, httpOnly: true }
}

passport protected resource:
OruoNwKPX3lSg4JhtyjVg8qo_G3uJsvb <----------------------------- session.id
Session {
  cookie: { path: '/', _expires: null, originalMaxAge: null, httpOnly: true }
}

前端已在fetch中设置credentials: "include"，但请求因会话中缺少sessionUser被验证中间件拦截，拦截逻辑如下：

...
/**
 * AUTHENTICATION
 */
const isProtected:boolean = isProtectedResource(requiredResource);
const sessionUser:{[key:string]: string}|undefined = req.session?.user;

console.log('passport:')
console.log(req.session?.id)
...

// authenticate protected resources
if(isProtected && !sessionUser) {
    return res.status(401).send('Login needed! :-((');
} 
...

当前后端配置：

...
/**
 * SESSION
 */
const session = require('express-session');
app.use(session({
  secret: 'api_1q2w3e4r5t',
  resave: false,
  //rolling: true,
  saveUninitialized: true,
  cookie: {
    //secure: true, // NOTE https
    sameSite: false,
    //maxAge: 1000 * 60 * 0 * 20
  }
}))

/**
 * CORS config
 */
import cors from "cors";
const corsOptions = {
  origin: "http://localhost:5173",
  methods: ['GET', 'PUT', 'POST', 'PATCH'],
  credentials: true,
};
app.use(cors(corsOptions));

问题原因及解决方案 #

核心问题 #

1. 中间件顺序错误：session配置在cors之前，导致跨域凭证处理逻辑无法正确作用于session cookie。
2. session cookie配置不合理：sameSite: false在HTTP环境下浏览器可能不兼容，saveUninitialized: true会生成空会话，干扰正常会话保持。

修正步骤 #

1. 调整中间件顺序：先配置cors，再配置session，确保跨域凭证规则先生效。
2. 优化session cookie配置：
   • 开发环境将sameSite设为"Lax"（sameSite: "None"仅适用于HTTPS环境，需配合secure: true）
   • 设saveUninitialized: false，避免创建无数据的空会话
   • 明确开启httpOnly: true（默认开启，显式配置更清晰）
3. 确保登录接口正确写入会话数据：确认登录成功后req.session.user被正确赋值并保存。

修正后的后端配置 #

// 先配置CORS
import cors from "cors";
const corsOptions = {
  origin: "http://localhost:5173",
  methods: ['GET', 'PUT', 'POST', 'PATCH'],
  credentials: true,
};
app.use(cors(corsOptions));

// 再配置Session
const session = require('express-session');
app.use(session({
  secret: 'api_1q2w3e4r5t',
  resave: false,
  saveUninitialized: false,
  cookie: {
    httpOnly: true,
    sameSite: "Lax",
    // 生产环境开启以下配置
    // secure: process.env.NODE_ENV === 'production',
    maxAge: 1000 * 60 * 20 // 可选，设置会话20分钟有效期
  }
}))

额外检查 #

• 确认前端所有涉及会话的请求（包括登录）都设置了credentials: "include"
• 清除浏览器缓存和旧cookie后重新测试

内容的提问来源于stack exchange，提问作者rammi22