Express-session存MongoDB但浏览器未设置会话Cookie问题求助

你遇到的核心问题是跨域场景下浏览器拒绝存储会话Cookie：尽管MongoDB已成功保存会话数据，但前端无法携带Cookie发起认证请求，导致isAuthenticated始终返回false。以下是针对性的修复步骤：

1. 修复SameSite Cookie配置（最关键） #

现代浏览器（Chrome 80+）对SameSite: false的Cookie有强制限制：必须同时设置Secure: true（仅HTTPS环境生效）。你的开发环境是HTTP（localhost:8000），Secure为false，此时SameSite: false会被浏览器直接拒绝存储。

修改会话配置中的Cookie部分：

cookie: {
    maxAge: 3600000,
    secure: process.env.NODE_ENV === "production",
    sameSite: process.env.NODE_ENV === "production" ? 'none' : 'lax', // 开发环境用lax，生产环境用none+secure
    httpOnly: true
}

• 开发环境（HTTP）：SameSite: 'lax'允许浏览器在跨域GET请求中携带Cookie，满足本地开发需求。
• 生产环境（HTTPS）：SameSite: 'none'搭配Secure: true，支持跨域场景下的Cookie传递。

2. 补充Passport会话初始化中间件 #

你的代码仅配置了序列化/反序列化逻辑，但缺少Passport核心的会话中间件，导致Passport无法关联express-session的会话数据。

在session(app)之后添加以下代码：

// 初始化Passport
app.use(passport.initialize());
// 启用Passport会话支持
app.use(passport.session());

这两个中间件必须放在express-session之后、业务路由之前。

3. 验证中间件顺序 #

确保中间件执行顺序正确，正确顺序应为：

• express.json() / bodyParser.json()
• CORS中间件（带credentials: true）
• cookie-parser（若使用需放在session之前）
• express-session
• passport.initialize() + passport.session()
• 业务路由

你的当前顺序基本符合，但需确认已添加Passport中间件。

4. 前端请求验证 #

确保React端Axios请求的withCredentials: true配置正确，且请求的后端地址与CORS配置的origin完全匹配（比如前端是http://localhost:3000，后端CORS origin不能用*，必须明确写http://localhost:3000）。

额外排查步骤 #

• 打开浏览器控制台的Network标签，查看登录请求的Response Headers，确认Set-Cookie头是否存在，以及是否有浏览器拦截提示。
• 检查Application > Cookies面板，查看Cookie是否被标记为"Not allowed"，若有则说明Cookie配置不符合浏览器安全规则。
• 本地开发时统一使用localhost而非127.0.0.1，避免域名不一致导致跨域问题。

内容的提问来源于stack exchange，提问作者Sami Ali