Node.js/Express生产环境每次页面访问新建会话问题求助

现有配置的潜在问题 #

你的会话配置核心逻辑没问题，但有两处容易忽略的细节：

• 未显式设置Cookie的domain属性：生产环境使用自定义域名时，浏览器可能因域名匹配规则不生效而拒绝携带Cookie。
• 缺少反向代理信任配置：Dokku依赖Nginx反向代理，Express默认不识别代理传递的协议信息，可能导致secure Cookie的判断错误。

生产环境排查方向 #

• 添加反向代理信任设置
  在app.use(sessionMiddleware)之前添加：

  app.set('trust proxy', true);
  

  这会让Express信任Nginx传递的X-Forwarded-Proto等头信息，确保secure: process.env.NODE_ENV === 'production'能正确识别HTTPS环境。

• 配置Cookie的Domain属性
  根据你的自定义域名调整Cookie配置，比如域名是yourdomain.com：

  cookie: {
    // 其他属性保留
    domain: '.yourdomain.com' // 带点支持子域名，或直接写具体域名
  }
  

  避免浏览器因域名不匹配而不保存Cookie。

• 检查Nginx配置
  登录Dokku服务器，查看应用的Nginx配置文件（路径：/home/dokku/<你的应用名>/nginx.conf），确保存在以下配置：

  proxy_set_header Cookie $http_cookie;
  proxy_set_header X-Forwarded-Proto $scheme;
  

  这保证Cookie和协议信息能正确传递到Express应用。

• 验证SameSite属性
  当前设置的sameSite: 'strict'会严格限制Cookie在跨场景下的传递，如果你的网站存在子域名资源请求或跨站跳转，可临时改为lax测试：

  sameSite: 'lax'
  

  确认问题解决后，再根据业务安全需求调整回strict或保持lax。

• 检查浏览器请求头
  在浏览器开发者工具的「网络」面板中，查看每个请求的Cookie头是否包含connect.sid（默认会话Cookie名）：

  • 如果没有：说明浏览器未保存Cookie，重点排查domain、secure、SameSite配置。
  • 如果有但服务器仍新建会话：检查存储中的会话ID是否与请求的一致，可能存在存储键名格式或编码问题。

• 确认环境变量正确性
  在生产环境打印日志验证process.env.NODE_ENV和cookie.secure的值，确保NODE_ENV确实为production，否则secure会是false，HTTPS环境下浏览器会拒绝保存Cookie。

内容的提问来源于stack exchange，提问作者Tom Davies