PERN应用中Passport.js每次请求生成新Session ID问题求助

针对你遇到的每次GET请求客户端生成新Session ID、无法匹配数据库session表的问题，以下是具体排查方向和修复方案：

1. 修正前端Fetch请求的凭证配置 #

• 当前设置的credentials: 'same-origin'仅在同源请求时生效，若前端与后端为跨域环境（比如前端跑在localhost:3000，后端在localhost:5000），需改为credentials: 'include'，确保跨域请求携带Cookie。
• 移除请求中的"Access-Control-Allow-Credentials": true，这是服务端响应头，放在请求里无效。

修改后的前端代码：

export const welcomeDetails = async () => {
    console.log('welcome details called');
    try {
    const response = await fetch(`${API_ENDPOINT}/welcome`, {
        method: "GET",        
        credentials: 'include',
        mode: 'cors',
        headers: {
            "Content-Type": "application/json"            
        }
    })
    if (!response.ok){
      console.log('response was not okay');
      throw new Error('response was not okay');
    }
    console.log('response was okay');
    const data = await response.json()
    console.log(data);
    return data;
  } catch (error){
    console.log(error);
  }
}

2. 完善Session Cookie的跨域/安全配置 #

Session Cookie属性设置不当会导致浏览器拒绝保存或携带Cookie，需根据环境调整：

• 开发环境（HTTP）：设置secure: false；生产环境（HTTPS）：设置secure: true。
• 跨域场景下，生产环境需配合设置sameSite: 'none'，开发环境可设为sameSite: 'lax'。

修改后的后端Session配置：

app.use(session({
  store: new pgSession ({
    pool : pgPool,
    tableName : "session"
  }),
  secret: [THE SECRET],
  saveUninitialized: false, // 避免创建未初始化的空Session
  resave: false,
  cookie: { 
    maxAge: 30 * 24 * 60 * 60 * 1000,
    secure: process.env.NODE_ENV === 'production',
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    httpOnly: true // 增强安全性，可选
  }
}));

3. 确认Passport初始化顺序 #

必须保证Session中间件在Passport之前加载，否则Passport无法获取Session上下文：

// 先加载Session中间件
app.use(session(...));
// 再初始化Passport
app.use(passport.initialize());
app.use(passport.session());

4. 检查Passport序列化/反序列化逻辑 #

确认正确实现用户序列化与反序列化，确保Session能关联到用户数据：

// 序列化用户ID到Session
passport.serializeUser((user, done) => {
  done(null, user.id);
});

// 从Session反序列化用户信息
passport.deserializeUser(async (id, done) => {
  try {
    const user = await db.query('SELECT * FROM users WHERE id = $1', [id]);
    done(null, user.rows[0]);
  } catch (err) {
    done(err);
  }
});

5. 验证数据库Session表结构 #

connect-pg-simple依赖特定的表结构，若未初始化，执行npm包内table.sql脚本创建表，确保表字段与Session存储需求匹配。

内容的提问来源于stack exchange，提问作者thetada