已发送Set-Cookie头但Session未创建，多服务鉴权请求失败排查

核心场景 #

你将be、fe、auth三个服务部署在App Engine上，通过负载均衡统一到同一域名下。登录时浏览器能收到Set-Cookie响应头，但Cookie未被保存，导致后续请求因鉴权中间件检查req.session失败而报错。

可能原因及修复方案 #

1. Cookie域名配置不匹配 #

你的Session配置中domain: "apply-itpwexp.com"，如果实际访问的域名是该主域名的子域名（比如api.apply-itpwexp.com、auth.apply-itpwexp.com），浏览器会因域名规则不匹配拒绝保存Cookie。

修复：
将domain修改为带前缀点的格式，让所有子域名共享Cookie：

cookie: {
  // ...其他配置
  domain: ".apply-itpwexp.com", // 添加上前缀点
}

如果实际访问的就是主域名本身，需确认域名完全一致，避免拼写错误。

2. sameSite: "none"的强制安全要求 #

当sameSite设为none时，浏览器强制要求Cookie必须设置secure: true（仅通过HTTPS传输），否则会直接拦截Cookie。

检查点：

• 确认生产环境下CONFIG.NODE_ENV是否正确设置为非local，确保secure被设为true。
• 如果负载均衡后的服务未配置HTTPS（生产环境不建议），要么改用sameSite: "lax"或"strict"，要么尽快配置HTTPS。

3. 前端请求未开启凭证携带 #

如果前端通过AJAX（Axios/Fetch）发起登录请求，必须显式开启凭证携带，否则浏览器不会保存Cookie。

修复：

• Axios请求添加配置：

  axios.post('/login', data, { withCredentials: true })
  

• Fetch请求添加配置：

  fetch('/login', {
    method: 'POST',
    credentials: 'include', // 跨域场景用include，同域用same-origin
    // ...其他配置
  })
  

4. 对httpOnly Cookie的误解 #

生产环境下你设置了httpOnly: true，这意味着前端JS无法读取该Cookie，所以在Session Storage或前端代码里看不到Cookie是正常的。但你应该能在浏览器开发者工具的Application -> Cookies面板中找到对应的Cookie（即使JS无法访问）。如果这里也看不到Cookie，说明前面的域名/secure/sameSite配置存在问题。

5. Session保存与Redis连接异常 #

你设置了saveUninitialized: false，只有当session被修改时才会触发保存。虽然登录时你设置了req.session.user = validated，但如果Redis连接异常，session无法存入Redis，后续请求也无法获取到有效session。

检查点：

• 查看后端日志，确认Redis连接是否正常，有没有连接失败的报错。
• 登录成功后，用KEYS *命令检查Redis中是否生成了对应的session键。

6. 鉴权中间件逻辑缺陷 #

当前鉴权中间件仅检查!req.session，但即使session存在，req.session.user可能为undefined（比如session过期或未正确初始化），此时访问req.session.user.adminId会直接抛出错误。

修复：
修改中间件，增加对req.session.user的检查：

function authenticate(req, res, next) {
  if (!req.session || !req.session.user) {
    res.status(401).send({
      message: "You shall not pass",
    });
    return;
  }

  req.adminId = req.session.user.adminId;
  next();
}

内容的提问来源于stack exchange，提问作者Anmol Gupta