Node.js与Express中Session失效：登录存token后Dashboard无法获取

核心问题分析与修复步骤 #

1. Session 中间件配置不完整 #

你的express-session缺少跨域场景下的Cookie关键配置，导致浏览器无法正确保存和传递Session ID：

app.use(session({
    secret: 'keyboard cat',
    resave: false,
    saveUninitialized: false,
    // 补充Cookie配置
    cookie: {
        httpOnly: true, // 禁止前端JS访问Cookie，提升安全性
        sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax', // 跨域场景需设为none
        secure: process.env.NODE_ENV === 'production', // 生产环境HTTPS下开启，本地开发设为false
        maxAge: 24 * 60 * 60 * 1000 // 可选：设置Session有效期1天
    }
}));

注意：本地开发时secure必须设为false，否则浏览器会拒绝保存Cookie；生产环境部署在HTTPS服务上时再改为true。

2. 异步操作中Session未强制保存 #

登录接口的异步请求（axios调用）里修改req.session后，需要手动调用req.session.save()确保Session被持久化——异步流程可能导致Express无法自动检测到Session变更：

if(response.data.responsecode == "200"){  
    req.session.email = req.body.email;
    req.session.token = response.data.access_token;
    // 手动触发Session保存
    req.session.save((err) => {
        if (err) console.error(err);
        console.log(req.session);
        res.json(response.data);
    });
} else {
    res.json({'error':"Invalid Email/Password"});
}
// 移除res.json后的next()：响应已发送，next()会触发重复响应错误

3. 登录接口逻辑错误：使用固定环境变量账号 #

你当前调用第三方接口时用的是process.env.REACT_APP_USERNAME和process.env.REACT_APP_PASSWORD，而非前端POST传入的req.body.username和req.body.password，这会导致所有登录请求共用同一个固定账号，Session中的token并非当前用户的有效凭证：

axios.post(
    `${process.env.REACT_APP_CLIENT_API}?grant_type=password&client_id=${process.env.REACT_APP_CLIENT_ID}&client_secret=${process.env.REACT_APP_CLIENT_SECRET}&username=${req.body.username}&password=${req.body.password}`
).then((response) => {
    // ...后续逻辑
})

4. 冗余的Body解析中间件 #

Express 4.16+已内置bodyParser功能，你同时使用express.json()、express.urlencoded()和bodyParser.json()属于重复配置，只需保留：

// 移除bodyParser相关代码
// const bodyParser = require('body-parser');
// app.use(bodyParser.json())

// 保留以下两行即可
app.use(express.json());
app.use(express.urlencoded({ extended: true })); // 建议添加extended: true，支持复杂表单数据解析

5. 前端请求需携带Credentials #

确保前端发起请求时开启withCredentials（以Axios为例），否则浏览器不会携带Session Cookie：

// 前端登录请求
axios.post('http://localhost:5000/login', { username, password }, { withCredentials: true })
// 前端Dashboard请求
axios.get('http://localhost:5000/dashboard', { withCredentials: true })

修正后的关键代码片段 #

Session中间件配置 #

app.use(session({
    secret: 'keyboard cat',
    resave: false,
    saveUninitialized: false,
    cookie: {
        httpOnly: true,
        sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
        secure: process.env.NODE_ENV === 'production',
        maxAge: 24 * 60 * 60 * 1000
    }
}));

登录接口 #

app.post("/login",(req,res) => {
    axios.post(
        `${process.env.REACT_APP_CLIENT_API}?grant_type=password&client_id=${process.env.REACT_APP_CLIENT_ID}&client_secret=${process.env.REACT_APP_CLIENT_SECRET}&username=${req.body.username}&password=${req.body.password}`
    ).then((tokenResponse) => {
        const accessToken = tokenResponse.data.access_token;
        axios.get(
            `${process.env.REACT_APP_API_URL}uservalidation?UserEmailID=${req.body.email}&Password=${req.body.password}`, 
            { headers: { Authorization: `Bearer ${accessToken}` } }
        ).then((validationResponse) => {
            if(validationResponse.data.responsecode === "200"){  
                req.session.token = accessToken;
                req.session.email = req.body.email;
                req.session.save((err) => {
                    if (err) console.error('Session保存失败:', err);
                    console.log('当前Session:', req.session);
                    res.json(validationResponse.data);
                });
            } else {
                res.json({'error':"Invalid Email/Password"});
            }
        }).catch((error) => {
            console.error('用户验证失败:', error);
            res.status(500).json({'error':"用户验证失败"});
        });
    }).catch((error) => {
        console.error('获取Token失败:', error);
        res.status(500).json({'error':"获取登录凭证失败"});
    });
});

Dashboard接口 #

app.get("/dashboard",(req,res) => {
    console.log('Dashboard请求Session:', req.session);
    // 先校验Session是否存在
    if(!req.session.token || !req.session.email){
        return res.status(401).json({'error':"未登录，请先登录"});
    }
    axios.get(
        `${process.env.REACT_APP_API_URL}oemdashboard/?UserEmailID=${req.session.email}`,
        { headers: { Authorization: `Bearer ${req.session.token}` } }
    ).then((response) => {
        res.json(response.data);
    }).catch((error) => {
        console.error('获取Dashboard数据失败:', error);
        if (error.response && error.response.status === 401) {
            res.status(401).json({'error':"登录已过期，请重新登录"});
        } else {
            res.status(500).json({'error':"获取数据失败"});
        }
    });
});

内容的提问来源于stack exchange，提问作者B L Praveen