如何解决Node Express会话变量在路由间无法持久化的问题

问题 #

使用Express sessions时，会话变量无法在路由间持久保存。在/login端点设置req.session.user = true后，访问/端点时该变量丢失。已尝试同端口部署、使用connect-sqlite3存储会话，均无效。

原后端代码 #

const express = require("express");
const session = require("express-session");
const cors = require("cors");

const app = express();
app.use(cors());

app.use(session({
    secret: "cookie",
    resave: true,
    saveUninitialized: true,
}));

app.get("/login", (req, res) => {
    req.session.user = true
    console.log(req.session.user)
    res.status(200).json({message: "Home page", session: req.session})
})

app.get("/", (req, res) => {
    console.log(req.session.user)
    res.status(200).json({message: "Home page", session: req.session})
})

app.listen(3000, () => {
    console.log("\n *** Server live on port 3000 *** \n");
});

原前端fetch代码 #

fetch("http://localhost:3000/login")
.then(res => res.json())
.then(data => {
    console.log(data.session)
    fetch("http://localhost:3000")
    .then(res => res.json())
    .then(data => {
        console.log(data.session)
    })
    .catch(error => {
        console.log(error)
    })
})
.catch(error => {
    console.log(error)
})

现象 #

• /login端点日志：包含user: true
• /端点日志：无user字段

解决步骤 #

问题核心是请求未携带会话Cookie，即使前后端同端口，fetch默认也不会自动发送Cookie。需要同时修改后端CORS配置和前端fetch请求：

1. 后端CORS配置：

   • 指定明确的origin（不能用*，否则无法配合credentials: true）
   • 设置credentials: true允许携带Cookie

2. 前端fetch请求：

   • 每个fetch请求添加credentials: 'include'（跨域场景）或credentials: 'same-origin'（同域场景），确保会话Cookie被发送到服务器

3. 可选优化Session配置：

   • 开发环境下设置cookie.secure = false（HTTP协议下Secure Cookie不会被发送）
   • 将resave设为false、saveUninitialized设为false，符合最佳实践

修改后的后端代码 #

const express = require("express");
const session = require("express-session");
const cors = require("cors");

const app = express();
// 配置CORS，允许指定源携带Cookie
app.use(cors({
    origin: "http://localhost:你的前端端口", // 替换为实际前端地址，比如3001
    credentials: true
}));

app.use(session({
    secret: "cookie",
    resave: false, // 关闭不必要的重新保存
    saveUninitialized: false, // 仅保存已初始化的会话
    cookie: {
        secure: false, // 开发环境设为false，生产环境用HTTPS时设为true
        httpOnly: true, // 增强安全性，防止前端JS读取Cookie
        maxAge: 24 * 60 * 60 * 1000 // 设置Cookie有效期（可选）
    }
}));

app.get("/login", (req, res) => {
    req.session.user = true;
    console.log(req.session.user);
    res.status(200).json({ message: "Login success", session: req.session });
});

app.get("/", (req, res) => {
    console.log(req.session.user);
    res.status(200).json({ message: "Home page", session: req.session });
});

app.listen(3000, () => {
    console.log("\n *** Server live on port 3000 *** \n");
});

修改后的前端fetch代码 #

// 登录请求携带Cookie
fetch("http://localhost:3000/login", {
    credentials: 'include'
})
.then(res => res.json())
.then(data => {
    console.log(data.session);
    // 首页请求同样携带Cookie
    fetch("http://localhost:3000", {
        credentials: 'include'
    })
    .then(res => res.json())
    .then(data => {
        console.log(data.session);
    })
    .catch(error => {
        console.log(error);
    });
})
.catch(error => {
    console.log(error);
});

验证 #

修改后重新启动服务器，运行前端代码：

• /login端点日志会显示user: true
• /端点日志同样会显示user: true，会话变量成功持久化

内容的提问来源于stack exchange，提问作者Landon Gray