Express-Session会话无法持久化：每次请求生成新SessionID的问题排查求助

看起来你的会话持久化问题主要由前端请求配置错误和后端中间件顺序不当导致，结合Cookie配置的小问题，下面是具体的修复步骤：

1. 前端Axios请求配置错误 #

你当前的withCredentials参数放在了Axios的第三个参数位置，但Axios的get方法签名是axios.get(url[, config])，第三个参数会被直接忽略，导致请求根本没有携带Session Cookie，服务器每次都会生成新的会话ID。

修复后的前端代码（/src/pages/roster.js） #

const handleRoster = () => {
  Axios.get("http://localhost:8080/", {
    headers: { "Content-Type":"application/json" },
    withCredentials: true // 移到第二个config对象内，确保生效
  })
  .then((response) => {
    console.log(response.data);
  })
}

2. 后端中间件顺序错误 #

express-session中间件必须在CORS配置之后加载，否则Session Cookie的跨域规则会因为CORS头未提前设置而失效，导致前端无法保存或携带Cookie。同时你重复配置了CORS头，容易引发冲突，建议移除自定义的header中间件（cors库已经帮你处理了这些头）。

修复后的后端中间件顺序（index.js） #

require('dotenv').config();
const express = require("express");
const app = express();
const db = require('./db');
const bcrypt = require("bcryptjs");
const cors = require("cors");
const {v4: uuidv4} = require('uuid');
const session = require('express-session');
const pgSession = require('connect-pg-simple')(session);

app.use(express.json());
app.use(express.urlencoded({ extended: true })); // 修复body-parser的deprecated警告

// 1. 先配置CORS，确保跨域规则生效
app.use(cors({
  origin: "http://localhost:3000",
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
  credentials: true,
}));

// 2. 再初始化session中间件
app.use(session({
  genid: (req) => {
    console.log("Inside middleware, not set yet: ");
    console.log(req.sessionID);
    return uuidv4();
  },
  store: new pgSession({
    pool: db,
    tableName: "session"
  }),
  secret: process.env.ES_SECRET,
  cookie:{
    maxAge: 3600000, // 改为1小时（原36秒太短，测试时容易过期）
    httpOnly: true, // 建议设为true，禁止前端操作Cookie，提升安全性
    secure: false, // 本地HTTP环境设为false，生产HTTPS需改为true
    sameSite: 'lax' // 跨域场景下允许Cookie携带，避免浏览器拦截
  },
  resave: false,
  saveUninitialized: true
}));

// 移除重复的自定义header中间件，避免和cors库的配置冲突

3. 额外优化建议 #

• 修复body-parser的deprecated警告：在express.urlencoded()中添加extended: true参数
• 调整Cookie的maxAge：原36秒的有效期太短，测试时容易导致会话提前过期，建议改为3600000毫秒（1小时）
• 开启httpOnly：禁止前端JavaScript操作Session Cookie，降低XSS攻击风险

修复原理 #

当你修正Axios的withCredentials配置后，前端请求会自动携带服务器设置的Session Cookie；调整中间件顺序后，CORS规则会先于Session生效，确保Cookie能被前端正确保存和携带；优化Cookie配置后，浏览器会在跨域请求中正常传递Cookie，服务器就能通过Cookie找到对应的会话，实现会话持久化。

内容的提问来源于stack exchange，提问作者jose reyes