Express-Session部署至Vercel后会话无法持久化如何解决？

在Vercel部署使用express-session和MemoryStore的应用时，客户端能生成并存储认证Cookie，但刷新页面或发送新请求时会被重定向至登录页。生产环境中每次请求都会生成新的Session ID，开发环境则运行正常。

相关代码如下：

index.ts #

const store = MemoryStore(session);

app.set("trust proxy", 1); // in production
app.use(
    session({
        name: "auth",
        secret: "secret",
            proxy: true, // in production 
        cookie: {
            maxAge: 1000 * 60 * 5,
            httpOnly: true,
            sameSite: "none", // in production
            secure: true, // in production
        },
        resave: false,
        store: new store({
            checkPeriod: 1000 * 60 * 60,
        }),
        rolling: true,
        saveUninitialized: false,
    })
);

verify.ts #

const session = req.session as any;
if (!session.authenticated) {
    return res.status(401).send({ message: "Unauthorized" });
}

需求：实现生产环境中授权会话的持久化。

问题核心是**MemoryStore是内存级会话存储**，而Vercel的无服务器架构中，每个请求可能由不同的服务器实例处理，实例间内存不共享，导致会话无法跨请求持久化，每次新请求都会生成新的Session ID。

要解决这个问题，必须替换MemoryStore为支持分布式的会话存储方案，推荐使用Vercel官方KV服务（适配性更强）或Redis，以下是具体实现步骤：

1. 替换为Vercel KV存储（推荐） #

步骤1：安装依赖 #

npm install @vercel/kv connect-redis express-session

步骤2：修改会话配置 #

更新index.ts中的会话初始化代码：

import { createClient } from '@vercel/kv';
import RedisStore from 'connect-redis';
import session from 'express-session';

// 初始化Vercel KV客户端
const kvClient = createClient({
  url: process.env.KV_REST_API_URL,
  token: process.env.KV_REST_API_TOKEN,
});

// 创建Redis兼容的会话存储实例
const redisStore = new RedisStore({
  client: kvClient,
  prefix: 'session:',
});

app.set("trust proxy", 1);
app.use(
    session({
        name: "auth",
        secret: process.env.SESSION_SECRET || "your-fallback-secret", // 用环境变量存储密钥，避免硬编码
        proxy: true,
        cookie: {
            maxAge: 1000 * 60 * 5,
            httpOnly: true,
            sameSite: "none",
            secure: true,
            domain: process.env.NODE_ENV === 'production' ? '.your-domain.com' : undefined, // 按需配置自定义域名
        },
        resave: false,
        store: redisStore, // 替换为Vercel KV存储
        rolling: true,
        saveUninitialized: false,
    })
);

步骤3：配置Vercel环境变量 #

在Vercel控制台的项目设置中添加以下环境变量：

• SESSION_SECRET：自定义的会话密钥
• KV_REST_API_URL和KV_REST_API_TOKEN：开启Vercel KV服务后自动生成的凭证

2. 关键注意事项 #

• 生产环境绝对不能用MemoryStore：仅适合单实例开发场景，分布式环境必须用共享存储。
• Cookie域名要匹配：如果应用部署在自定义域名下，确保cookie.domain配置正确，否则Cookie无法跨子域共享。
• 敏感配置用环境变量：所有密钥、存储凭证都通过Vercel环境变量注入，禁止硬编码在代码中。

内容的提问来源于stack exchange，提问作者ABHIJITH HEGDE