跨域场景下Express+Redis+Next.js会话Cookie未发送问题排查

针对你遇到的问题，结合Heroku、Express和Redis的特性，以下是几个关键排查点和修复方案：

1. 让Express信任Heroku的反向代理 #

Heroku通过反向代理处理所有请求，Express默认不会识别代理传递的X-Forwarded-Proto等头信息，导致secure: true的Cookie配置无法生效（Express会认为请求是HTTP协议）。在Express初始化代码中添加：

app.set('trust proxy', 1); // 信任第一个代理层级，适配Heroku环境

这会让Express正确识别请求的实际协议（HTTPS），从而启用secure Cookie。

2. 修正Cookie的Domain配置 #

如果后端使用自定义子域名（如api.my-site.app），前端是www.my-site.app，需要确保Cookie的Domain覆盖所有相关子域名，同时仅在生产环境生效：

cookie: {
  maxAge: 600000, // 10分钟
  secure: process.env.NODE_ENV === "production",
  httpOnly: true,
  sameSite: process.env.NODE_ENV === "production" ? "None" : "Strict",
  domain: process.env.NODE_ENV === "production" ? ".my-site.app" : undefined, // 适配多子域名场景
}

注意：如果后端仍使用Heroku默认域名（如xxx.herokuapp.com），不要设置自定义Domain，否则Cookie会被浏览器拒绝。

3. 确认connect-redis与express-session的版本兼容性 #

不同版本的connect-redis和express-session可能存在兼容性问题，比如connect-redis v7+需要配合express-session v1.17.x及以上，且导入方式需注意：

// CommonJS环境下的正确导入方式（避免版本不兼容导致的存储失败）
const RedisStore = require('connect-redis').default;

同时，在Redis初始化函数中添加连接成功日志，确认客户端正常连接：

redisClient.on("connect", () => {
  console.log("Redis连接成功");
});

4. 确保会话被主动修改并保存 #

由于你设置了saveUninitialized: false，只有当req.session被修改时，Express才会生成并发送Cookie。在/validate-order接口中，必须明确修改会话对象，必要时手动调用save：

app.post('/validate-order', async (req, res) => {
  // 必须修改会话属性，触发保存逻辑
  req.session.orderId = req.body.order.id;
  
  // 手动调用save确保会话被写入Redis并发送Cookie
  req.session.save((err) => {
    if (err) {
      console.error("会话保存失败:", err);
      return res.status(500).json({ error: "会话保存失败" });
    }
    res.json({ success: true });
  });
});

5. 用浏览器工具定位问题 #

打开浏览器开发者工具的Network面板，找到/validate-order请求：

• 如果响应头中没有Set-Cookie：说明后端未生成Cookie，排查会话配置、Redis连接或会话修改逻辑；
• 如果有Set-Cookie但前端未保存：检查Cookie的Secure、SameSite=None、Domain属性是否符合浏览器要求，比如SameSite=None必须搭配Secure，否则会被Chrome等浏览器拒绝。

内容的提问来源于stack exchange，提问作者ozenK