登录后res.cookie设置的token无法通过req.cookies获取，返回undefined

核心问题 #

登录接口通过res.cookie设置token后，浏览器中无该Cookie，API接口用req.cookies.token获取返回undefined；Postman中可正常看到Cookie，Passport.js谷歌认证的Cookie功能正常。

排查方向与解决方法 #

1. Token生成函数未返回值 #

提供的generateToken函数缺少return语句，导致生成的token为undefined，Cookie实际被设置为空值，自然无法被浏览器存储和API读取。

修复代码：

function generateToken(id: string) {
    const token = jwt.sign({ id }, process.env.TOKEN_KEY, {
        expiresIn: "15d"
    })
    return token // 必须返回生成的token
}

2. Cookie未配置SameSite属性 #

现代浏览器默认对未指定SameSite的Cookie采用Lax规则，跨域场景下会限制Cookie的发送与存储；而Postman不严格遵循该规则，因此能正常显示。

修复配置：
在res.cookie中添加SameSite属性，注意SameSite=None必须配合secure: true使用（生产环境）：

res.cookie('token', generateToken(USER.id), {
    httpOnly: true,
    secure: process.env.NODE_ENV !== 'development',
    maxAge: 15 * 24 * 60 * 60 * 1000,
    sameSite: process.env.NODE_ENV === 'development' ? 'lax' : 'none'
})

3. 前后端地址不匹配 #

检查process.env.FRONT_URL是否与前端实际运行地址完全一致（需包含协议，如http://localhost:3000，不能仅写localhost:3000）。浏览器对Cookie存储的协议、域名、端口匹配要求严格，任一不匹配都会导致Cookie无法写入。

确认点：

• 前端请求必须设置withCredentials: true（已确认设置，需确保请求实际携带该配置）
• 后端CORS配置的origin必须与前端地址完全一致

4. 中间件顺序与冲突 #

• 确保cookieParser在路由注册之前加载，否则路由无法读取req.cookies
• 当前使用的express-session会生成connect.sid Cookie，可能与自定义token Cookie存在冲突。可暂时注释session中间件测试，若恢复正常，需调整session的Cookie配置：

app.use(session({
    secret: 'secret',
    resave: false,
    saveUninitialized: false,
    cookie: {
        httpOnly: true,
        secure: process.env.NODE_ENV !== 'development',
        sameSite: process.env.NODE_ENV === 'development' ? 'lax' : 'none'
    }
}))

验证步骤 #

1. 先修复generateToken的返回问题，这是最基础的错误
2. 添加SameSite属性到Cookie配置
3. 确认前后端地址完全匹配，前端请求withCredentials正确设置
4. 登录后查看浏览器Application -> Cookies下是否存在token
5. 在API接口中打印req.cookies，确认是否能获取到目标值

内容的提问来源于stack exchange，提问作者Boughazi Akram