req.session.user无法保存导致verifyUser中间件返回401问题求助

问题现象 #

用户登录后，req.session.user在登录路由中能正常打印，但verifyUser中间件检测到req.session.user始终为undefined，且每次请求的req.session.id都不相同，导致接口返回401未授权状态码。

修复方案 #

1. 调整中间件加载顺序 #

cookie-parser必须在express-session之前加载，否则session无法正确读取请求中的cookie，每次请求都会生成新的session。

修改服务端配置代码：

const session = require("express-session");
const cookieParser = require("cookie-parser");

// 先加载cookieParser
app.use(cookieParser());
app.use(
  session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: { 
      maxAge: 1000 * 60 * 60 * 24,
      sameSite: 'lax' // 跨域场景下必须设置，允许跨域请求携带cookie
    },
    secure: !process.env.UNSECURE_COOKIES, // 开发环境下UNSECURE_COOKIES设为true，避免secure cookie无法在http环境下生效
  })
);

2. 前端登录请求添加凭证携带配置 #

登录请求未设置credentials: "include"，导致服务器返回的session cookie无法被前端浏览器保存，后续授权请求自然无法携带session信息。

修改前端登录请求代码：

const response = await fetch(`${url}/login`, {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  credentials: "include", // 新增：允许携带跨域凭证
  body: JSON.stringify({ username, password }),
});

3. 等待session保存完成后再响应 #

req.session.save()是异步操作，若未等待保存完成就返回响应，可能导致session数据未持久化到存储中，后续请求无法读取到用户信息。

修改登录路由代码：

router.post("/", ... , async (req,res) => {
    ...
    req.session.user= {
      id: user._id.toString(),
      username: username,
      role: user.role,
    };
    console.log("User logged in and session.user is");
    console.log(req.session.user);

    // 等待session保存完成
    await new Promise((resolve, reject) => {
      req.session.save((err) => {
        if (err) reject(err);
        else resolve();
      });
    });

    res.status(200).json({
      message: "User logged in successfully.",
      info: { id: user._id, username: username, role: user.role },
    });
})

核心原因总结 #

• 中间件顺序错误：express-session依赖cookie-parser解析cookie，顺序颠倒会导致session无法识别用户，每次请求创建新会话。
• 跨域凭证未携带：登录请求未配置credentials，浏览器无法保存session cookie，后续请求无身份标识。
• 异步操作未等待：session保存未完成就响应，导致用户信息未持久化。

内容的提问来源于stack exchange，提问作者Jakov