Express-Session设置secure=true时Cookie无法发送至前端的问题

核心配置修正及Vercel特有设置 #

• 完善Cookie配置：当设置sameSite: 'none'时，浏览器强制要求同时开启secure: true，还需补充适配Vercel域名的domain配置。如果前后端属于Vercel下不同子域名，可设置domain: '.vercel.app'实现跨子域Cookie共享：

  app.use(session({
      secret: env.SESSION_SECRET,
      resave: false,
      saveUninitialized: false,
      cookie: {
          secure: true,
          sameSite: 'none',
          httpOnly: true,
          maxAge: 60 * 60 * 1000,
          domain: '.vercel.app' // 根据实际部署域名调整
      },
      rolling: true,
      store: MongoStore.create({
          mongoUrl: env.MONGODB_CONNECTION_STRING
      })
  }));
  

• 开启Express信任代理：Vercel作为反向代理，Express默认无法识别真实的HTTPS请求，会导致secure: true的Cookie不被发送。需在session配置前添加：

  app.set('trust proxy', 1);
  

• 配置CORS与前端请求凭据：后端需开启CORS允许跨域携带凭据，同时前端请求要明确携带Cookie：
  后端CORS配置：

  const cors = require('cors');
  app.use(cors({
      origin: 'https://your-frontend-domain.vercel.app', // 替换为实际前端域名
      credentials: true
  }));
  

  前端示例（Fetch API）：

  fetch('https://your-backend-domain.vercel.app/api', {
      credentials: 'include'
  });
  

常见排查点 #

• 确认Vercel环境变量SESSION_SECRET、MONGODB_CONNECTION_STRING配置正确无拼写错误
• 通过浏览器DevTools的Application面板查看Cookie是否存在，或Network面板检查响应头的Set-Cookie字段，排查是否有浏览器拦截警告
• 验证MongoStore与MongoDB的连接状态，确保会话能正常持久化

内容的提问来源于stack exchange，提问作者Mohit Sharma