使用cookie-session时Passport无法写入Cookie，express-session正常

1. 确认中间件挂载顺序 #

cookie-session必须在Passport初始化之前挂载，Passport依赖cookie-session创建的req.session对象，顺序颠倒会导致Passport无法访问到正确的session实例：

// 正确顺序示例
const cookieSession = require('cookie-session');
const passport = require('passport');

app.use(cookieSession({
  name: 'im-session',
  keys: ['your-32bit-plus-secret-key'], // 必须配置加密密钥，建议用环境变量存储
  maxAge: 24 * 60 * 60 * 1000 // 会话有效期
}));

// 之后再初始化Passport
app.use(passport.initialize());
app.use(passport.session());

2. 检查Passport序列化逻辑 #

确保serializeUser确实向session写入了用户标识，只有session内容发生变化时，cookie-session才会生成Cookie：

passport.serializeUser((user, done) => {
  // 必须传入用户唯一标识（如user.id），触发session写入
  done(null, user.id);
});

passport.deserializeUser((id, done) => {
  User.findById(id, (err, user) => {
    done(err, user);
  });
});

如果serializeUser没有正确执行（比如没调用done(null, user标识)），req.session不会被修改，自然不会生成Cookie。

3. 验证登录流程的session写入 #

在登录成功的回调里直接打印req.session，确认是否存在passport字段：

app.post('/login', passport.authenticate('local', { failureRedirect: '/login' }), (req, res) => {
  // 正常情况应输出包含passport.user的session对象
  console.log('登录后的session:', req.session);
  res.send({ code: 0, msg: '登录成功' });
});

如果输出里没有passport字段，说明Passport的登录策略没正确触发序列化，检查策略的验证回调是否在用户通过验证时调用了done(null, user)：

// Local策略示例
passport.use(new LocalStrategy((username, password, done) => {
  User.findOne({ username }, (err, user) => {
    if (err) return done(err);
    if (!user) return done(null, false, { msg: '用户不存在' });
    // 密码验证通过后，必须传入user对象
    if (user.checkPassword(password)) return done(null, user);
    return done(null, false, { msg: '密码错误' });
  });
}));

4. 核对cookie-session配置细节 #

• 必须设置keys选项，缺失会导致Cookie加密失败，无法生成有效Cookie
• 生产环境需配置secure: true（配合HTTPS），否则Chrome可能会拦截Cookie
• 跨域场景需调整sameSite和domain参数：

cookieSession({
  name: 'im-session',
  keys: [process.env.SESSION_SECRET],
  maxAge: 24 * 60 * 60 * 1000,
  cookie: {
    secure: process.env.NODE_ENV === 'production',
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    domain: '.your-domain.com' // 跨子域时配置
  }
});

内容的提问来源于stack exchange，提问作者rvc