Express Session无法保存数据求助：已尝试常见方案仍未解决

我需要将用户登录信息存入req.session，后续通过中间件验证登录状态，但在配置CORS、withCredentials: true及手动调用session.save()后，仍无法在前端请求中读取Session数据，仅Postman可正常工作。以下是针对性的排查与修复方案：

1. 修复前端异步请求的核心错误 #

你的isLoggedIn函数中，axios.get是异步操作但未使用await，导致直接返回Promise对象，无法正确获取响应状态。修改如下：

export const isLoggedIn = async () => {
    try {
        const response = await axios.get("http://localhost:8080/auth/check-auth/", {withCredentials: true});
        if (response.status === 200) {
            console.log('User authenticated, access granted')
            return true;
        }
    } catch (error) {
        if (error.response?.status === 403) {
            console.log('403: User not authenticated, access denied')
            return false;
        } else {
            console.log('Unknown error while authenticating: ', error)
            return false;
        }
    }
}

调用该函数时也需使用await：

const isAuthenticated = await isLoggedIn();

2. 等待Session保存完成后再返回响应 #

req.session.save()是异步方法，未等待保存完成就返回响应会导致Session未写入数据库，后续请求无法读取。修改登录路由：

router.post('/signin', async (req, res) => {
  const {  email, password } = req.body;
  try {
    const user = await User.findOne({ email });
    if (!user) {
      return res.status(400).send('User not found');
    }

    const isMatch = await bcrypt.compare(password, user.hashedPassword);
    if (!isMatch) {
      return res.status(400).send('Invalid credentials');
    }

    const sessionUser = {
      id: user._id,
      email: user.email,
    }
  
    req.session.user = sessionUser;
    console.log('Sign in successful: ', email)
    await req.session.save(); // 等待Session保存完成
    res.status(200).send({ user: sessionUser }); // 仅返回必要用户数据

  } catch (err) {
    res.status(500).send('Error signing in');
  }
});

3. 修正Session Cookie的跨域配置 #

跨域场景下需显式配置Cookie的sameSite属性，并根据环境调整secure参数：

app.use(session({
  secret: process.env.SESSION_SECRET,
  resave: false,
  saveUninitialized: false,
  cookie: { 
    maxAge: 24 * 60 * 60 * 1000,
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    secure: process.env.NODE_ENV === 'production', // 生产环境仅HTTPS下生效
    httpOnly: true // 开启防止XSS攻击
  },
  store: MongoStore.create({
    client: db.getClient(),
    collectionName: 'sessions',
    autoRemove: true, // 改为布尔值而非字符串
    stringify: false, // 改为布尔值而非字符串
  })
}));

4. 调整中间件加载顺序 #

确保cookie-parser在express-session之前加载：

// 调整顺序
app.use(cookieParser());
app.use(session({
  // ... Session配置 ...
}));

5. 统一请求URL格式 #

前端登录请求URL末尾带斜杠，与后端路由/signin不一致，修改为统一格式：

const response = await axios.post("http://localhost:8080/auth/signin", payload, {withCredentials: true});

验证步骤 #

1. 登录后打开浏览器开发者工具（Application -> Cookies），确认connect.sid已生成，Domain为localhost、Path为/。
2. 发送check-auth请求时，查看Network面板的Request Headers，确认包含Cookie: connect.sid=xxx。
3. 后端check-auth路由中打印req.session.user，确认数据已正确存储。

内容的提问来源于stack exchange，提问作者ceebee