express-session登录状态保存异常求助：sessionID多变且无Set-Cookie

我想用express-session实现用户登录状态记录，但遇到了问题，代码如下：

const express = require('express')
const session = require('express-session')
const compression = require('compression')

const sessionOptions = {
  secret: '123',
  name: 'test',
  resave: true,
  saveUninitialized: false,
  rolling: true,
  cookie: {
    httpOnly: true,
    maxAge: 1000 * 1800, // 30min
    secure: true
  }
}

const app = express()
app.use(session(sessionOptions))
app.use(compression())
app.use(express.json())
app.use(express.urlencoded({ extended: false }))

app.get('/', (req, res) => {
  console.log(req.session)
  res.json({
    id: req.sessionID,
    data: req.session.data
  })
})

app.get('/login', (req, res) => {
  req.session.data = 'asdasdasdasd'
  res.end(req.sessionID)
})

app.listen(3000, () => {
  console.log(`Server running at http://127.0.0.1:3000`)
})

操作现象 #

• 访问/并持续刷新页面，每次的sessionID都不相同；
• 先访问/login再访问/，返回结果：

{
    "id": "8Z9bb5B6lATMe1sAIT_8QgY07YvOlr8P"
}

服务器输出：

Session {
  cookie: {
    path: '/',
    _expires: 2023-12-28T06:35:36.057Z,
    originalMaxAge: 1800000,
    httpOnly: true,
    secure: true
  }
}

检查浏览器控制台网络面板，发现响应头从未出现Set-Cookie字段，即使服务器端修改了req.session。

已经排查过服务器控制台输出、浏览器开发者工具请求信息，还用Wireshark抓取了HTTP请求信息，求告知express-session的正确用法。

核心问题是浏览器未收到Set-Cookie响应头，导致session无法持久化，以下是关键修正点：

1. cookie.secure配置错误 #

secure: true表示cookie仅在HTTPS连接下才会被浏览器保存和发送，但你当前用http://127.0.0.1:3000的HTTP协议访问，浏览器会直接忽略该cookie，自然不会生成Set-Cookie头。

修正方案：

• 本地开发时将secure改为false；
• 生产环境部署HTTPS时再改回true，或根据环境动态判断：

cookie: {
  httpOnly: true,
  maxAge: 1000 * 1800,
  secure: process.env.NODE_ENV === 'production'
}

2. saveUninitialized设置不符合需求 #

saveUninitialized: false意味着只有当session被修改（比如添加req.session.data）时，服务器才会创建session并发送Set-Cookie头。访问/时仅读取session未做修改，所以每次请求都会生成新的sessionID。

修正方案：

• 若需要用户访问就创建持久session，将saveUninitialized改为true；
• 若仅在登录时创建session，该设置没问题，但未登录时刷新生成新sessionID是正常行为，登录后修改session才会触发持久化。

3. 中间件顺序优化 #

当前session中间件放在compression前面，虽不影响核心功能，但建议将压缩中间件前置，先处理响应压缩再处理session：

const app = express()
app.use(compression())
app.use(session(sessionOptions))
app.use(express.json())
app.use(express.urlencoded({ extended: false }))

修正后的完整代码 #

const express = require('express')
const session = require('express-session')
const compression = require('compression')

const sessionOptions = {
  secret: '123', // 生产环境建议用环境变量存储，避免硬编码
  name: 'test',
  resave: false, // 改为false，避免不必要的session存储更新
  saveUninitialized: true, // 设为true让首次访问就创建session
  rolling: true,
  cookie: {
    httpOnly: true,
    maxAge: 1000 * 1800, // 30min
    secure: process.env.NODE_ENV === 'production'
  }
}

const app = express()
app.use(compression())
app.use(session(sessionOptions))
app.use(express.json())
app.use(express.urlencoded({ extended: false }))

app.get('/', (req, res) => {
  console.log(req.session)
  res.json({
    id: req.sessionID,
    data: req.session.data
  })
})

app.get('/login', (req, res) => {
  req.session.data = 'asdasdasdasd'
  res.end(req.sessionID)
})

app.listen(3000, () => {
  console.log(`Server running at http://127.0.0.1:3000`)
})

验证步骤 #

1. 启动修改后的服务，访问/，浏览器会收到Set-Cookie头；
2. 刷新页面，sessionID保持不变；
3. 访问/login后再访问/，返回结果会包含data: "asdasdasdasd"，服务器控制台也会输出session中的data字段。

内容的提问来源于stack exchange，提问作者AmzGrainRain