Express中express-session无法存储数据问题求助

核心问题分析 #

GitHub登录成功后，req.session已包含用户数据，浏览器也收到了connect.sid Cookie，但后续请求中req.isAuthenticated()返回false，无法获取req.user，核心原因集中在Cookie域名不匹配、Passport序列化逻辑错误、Session Cookie配置缺失这几个点。

具体修复步骤 #

1. 修正Passport序列化函数的错误逻辑 #

你在serializeUser中错误操作了全局session对象，而非当前请求的req.session，导致用户ID无法正确存入当前会话：

passport.serializeUser((user, done) => {
  users[user.id] = user;
  // 移除错误的全局session赋值，Passport会自动处理会话存储
  done(null, user.id);
});

2. 统一前后端域名，消除Cookie跨域问题 #

后端回调URL使用了http://127.0.0.1:3000，但前端运行在localhost:3005，浏览器会将127.0.0.1和localhost视为不同域名，导致Cookie无法在后续请求中携带。修改GitHubStrategy的回调URL为localhost：

passport.use(
  new GitHubStrategy(
    {
      clientID: id,
      clientSecret: secret,
      callbackURL: "http://localhost:3000/auth/github/callback", // 改为localhost
    },
    function (accessToken, refreshToken, profile, cb) {
      users[profile.id] = profile;
      return cb(null, profile);
    }
  )
);

3. 优化Session Cookie配置 #

调整express-session的Cookie参数，明确域名、SameSite属性，同时修正非必要配置项：

app.use(
  session({
    secret: "TAMARA",
    resave: false, // 禁用强制重写未修改的session，避免性能问题
    saveUninitialized: false, // 不保存未初始化的session，符合HTTP规范
    cookie: {
      secure: false, // 开发环境HTTP下设为false，生产环境HTTPS需改为true
      sameSite: "lax", // 适配跨站跳转场景，确保Cookie正常携带
      domain: "localhost", // 明确Cookie域名，与前端保持一致
      maxAge: 24 * 60 * 60 * 1000, // 设置Cookie有效期，避免会话过早失效
      path: "/" // 确保Cookie在所有路径下有效
    },
  })
);

4. 简化回调路由的冗余代码 #

Passport已自动将用户信息挂载到req.user并处理会话存储，无需手动赋值req.session.user：

app.route("/auth/github/callback").get(passport.authenticate("github", { failureRedirect: "/" }), (req, res) => {
  console.log("req user id", req.user.id);
  // 移除手动设置session的代码
  res.redirect("http://localhost:3005");
});

验证步骤 #

1. 登录成功后，打开浏览器开发者工具的Application > Cookies > http://localhost:3005，确认存在connect.sid Cookie，且Domain为localhost、Path为/。
2. 点击前端测试按钮发起请求，查看请求头的Cookie字段是否包含connect.sid=xxx。
3. 后端ensureAuthenticated函数的日志中，req.isAuthenticated()应返回true，req.session应包含passport字段。

内容的提问来源于stack exchange，提问作者Nikola Golubović