React项目中express-session的req.session.isAuthenticated刷新后消失求助

核心问题原因 #

会话认证状态丢失主要由以下配置错误导致：

• Axios请求地址与后端API端口不匹配，会话无法正确关联
• express-session的maxAge单位错误（应为毫秒），Cookie提前过期
• 登录控制器中响应发送后仍调用next()，干扰会话保存流程
• express-session的resave/saveUninitialized配置不合理，影响会话持久化

分步解决方案 #

1. 修正Axios请求地址 #

后端API运行在localhost:8000，需同步Axios的baseURL配置：

import axios from 'axios'

export default axios.create({
  baseURL: 'http://localhost:8000/', // 改为实际后端API端口
  withCredentials: true,
  headers: {
    'Content-type': 'application/json'
  }
})

2. 优化express-session配置 #

调整会话参数，修正Cookie有效期单位，增加跨域支持并优化保存策略：

app.use(
  session({
    name: 'admin',
    secret: 'secret',
    resave: false, // 避免不必要的会话重写
    saveUninitialized: false, // 仅保存已初始化的会话
    cookie: { 
      secure: false, // 开发环境关闭HTTPS要求
      maxAge: 3600 * 24 * 1000, // 修正为毫秒单位，有效期1天
      sameSite: 'lax', // 跨域场景允许携带Cookie
      httpOnly: true // 防止前端篡改Cookie，提升安全性
    }
  })
)
app.use(cors({
  origin: 'http://localhost:3000',
  credentials: true
}))

3. 修复登录控制器的会话保存逻辑 #

登录成功后手动调用req.session.save()确保会话持久化，移除多余的next()（已发送响应无需继续执行中间件）：

import { Request, Response, NextFunction } from 'express'
import * as fs from 'fs'
import { AdminUsername } from '../config/config'

const filePath = 'path/to/password.txt'
const correctPassword: string = fs.readFileSync(filePath, 'utf8').trim()

export const verifyPassword = (req: Request, res: Response, next: NextFunction) => {
  if (req.body.password === correctPassword && req.body.username === AdminUsername) {
    req.session.isAuthenticated = true
    console.log(req.session, 'middleware')
    
    // 手动保存会话，确保状态持久化
    req.session.save((err) => {
      if (err) {
        return res.status(500).json({ error: '会话保存失败' })
      }
      res.status(200).json({ message: '授权成功', authenticated: req.session.isAuthenticated })
    })
  } else {
    return res.status(401).json({ error: '未授权', authenticated: false })
  }
}

4. 优化会话状态验证接口 #

确保/status接口能正确返回认证状态，避免返回undefined：

router.get('/status', (req: Request, res: Response) => {
  console.log(req.session, 'route')
  return res.json(req.session.isAuthenticated || false)
})

内容的提问来源于stack exchange，提问作者GhostFighter50