express-session结合MongoDB Store重定向后会话不持久化问题

核心问题分析 #

本地正常但Vercel生产环境会话失效，本质是Vercel的Serverless架构特性+Cookie跨域/安全配置不匹配导致的——数据库中虽有会话记录，但前端请求无法正确携带Cookie到后端，导致会话无法被识别。

针对性解决方案 #

1. 修正Cookie关键配置 #

你的Cookie配置存在多个生产环境必须调整的问题，直接替换为以下配置：

cookie: {
    maxAge: parseInt(process.env.SESSION_MAX_AGE), // 注意：express-session标准配置是maxAge，而非originalMaxAge
    httpOnly: true, // 生产环境强制设为true，避免XSS风险，同时符合浏览器安全规范
    secure: process.env.NODE_ENV === 'production', // Vercel默认HTTPS，非secure的Cookie不会被浏览器携带
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax', // 跨域场景必须设为none，需配合secure: true
    domain: process.env.COOKIE_DOMAIN // 若前后端共用主域名，配置为`.yourdomain.com`实现子域共享Cookie
},

2. 适配Vercel Serverless无状态特性 #

Vercel的Serverless Functions是无状态的，每次请求可能由不同实例处理：

• 确保MongoDBSession实例在app启动时全局初始化一次，不要在每个请求处理函数中重复创建，保证所有请求复用同一个数据库连接。

3. 优化session.save()的异步处理 #

原路由中使用回调形式的save()可能存在时序问题，改为Promise形式确保会话保存完成后再重定向：

router.route('/callback').get(async (req, res) => {
    await auth.initUserConnection(req);
    req.session.isAuth = true;
    await req.session.save(); // 用await确保会话已写入数据库
    res.status(200).redirect(`${process.env.VERCEL_FRONTEND}/problems`);
});

4. 验证环境变量与数据库配置 #

• 检查Vercel控制台的环境变量：确认SESSION_SECRET、DATABASE_URL、SESSION_MAX_AGE无拼写错误，且SESSION_MAX_AGE是合法的数字格式
• 检查MongoDB的IP白名单：确保Vercel的服务器IP被允许访问（可暂时开放0.0.0.0/0测试，后续再缩小范围）

5. 配置跨域允许携带Cookie #

若前后端为跨域场景，需在express中配置CORS：

const cors = require('cors');
app.use(cors({
    origin: process.env.VERCEL_FRONTEND,
    credentials: true // 允许前端请求携带Cookie
}));

同时前端发起请求时需开启withCredentials（比如axios中设置withCredentials: true）

验证步骤 #

1. 调整配置后重新部署到Vercel
2. 打开浏览器开发者工具，在Application -> Cookies中确认会话Cookie存在，且Secure、SameSite属性符合配置
3. 调用/execute接口时，查看请求头中是否携带Cookie字段，且包含会话ID

内容的提问来源于stack exchange，提问作者Aslah P Hussain