ExpressJS生成的JWT Cookie未在客户端显示，req.cookies为空求助

核心问题排查与修复步骤 #

1. Cookie配置错误：SameSite与Secure的强制关联

当设置sameSite: "none"时，浏览器强制要求同时设置secure: true，否则会直接忽略该Cookie——这是浏览器的安全规则：SameSite=None的Cookie只能通过HTTPS传输。

• 本地开发（HTTP环境）：将sameSite改为"lax"或"strict"，保持secure: false
• 生产环境（HTTPS环境）：保留sameSite: "none"和secure: true

修正后的Cookie配置示例：

res
  .cookie("access_token", AccessToken, {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production', // 生产环境自动启用HTTPS
    sameSite: process.env.NODE_ENV === 'production' ? "none" : "lax",
    maxAge: 900000,
  })
  .cookie("refresh_token", RefreshToken, {
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production',
    sameSite: process.env.NODE_ENV === 'production' ? "none" : "lax",
    maxAge: 86400000,
  })

2. CORS跨域凭证配置缺失

前端Vite项目与后端Express跨域时，必须双向配置允许携带凭证：

• 后端Express配置CORS：

const cors = require('cors');
// 替换为你的Vite前端地址，比如http://localhost:5173
app.use(cors({
  origin: 'http://localhost:5173',
  credentials: true // 允许Cookie等凭证跨域传输
}));

• 前端请求开启withCredentials：
  如果用axios：

// 登录请求
axios.post('/api/login', loginData, { withCredentials: true });
// 私有路由请求
axios.get('/api/private', { withCredentials: true });

如果用原生fetch：

fetch('/api/login', {
  method: 'POST',
  credentials: 'include',
  body: JSON.stringify(loginData),
  headers: { 'Content-Type': 'application/json' }
});

3. CookieParser签名配置问题

如果给Cookie设置了签名（signed: true），必须在初始化CookieParser时传入签名密钥，否则签名后的Cookie会存到req.signedCookies而非req.cookies：

const cookieParser = require('cookie-parser');
// 替换为你的自定义签名密钥
app.use(cookieParser('your-secret-signing-key'));

// 获取签名Cookie时用req.signedCookies
console.log(req.signedCookies.access_token);

如果没有使用签名Cookie，确保CookieParser初始化时不需要密钥，直接app.use(cookieParser())即可。

4. Thunderclient测试设置

在Thunderclient中测试时，需要手动勾选Send Cookies选项（位于请求编辑页面的"Settings"标签下），否则请求不会自动携带Cookie。

内容的提问来源于stack exchange，提问作者Zach philipp