Node.js+Heroku+Passport生产环境Cookie无法初始化问题

问题背景 #

使用Node.js、React与Passport构建的项目，开发环境中前端可通过Axios携带凭证正常获取用户信息，但部署到Heroku生产环境后，浏览器Application面板的Cookie栏为空，无法完成用户会话初始化。

核心排查与修复步骤 #

1. 严格校验CORS Origin配置 #

你的后端CORS配置：

app.use(cors({ 
    origin: getProductionURL(), 
    credentials: true}));

• 确保getProductionURL()返回前端部署的完整HTTPS域名（如https://your-frontend.herokuapp.com），必须与前端实际访问地址完全一致，浏览器会拒绝跨域Cookie的保存。
• 禁止使用通配符*作为origin，否则credentials: true会直接失效。

2. 确认Session Cookie的生产环境配置 #

你的Session配置：

app.use(session({ 
    secret: 'secretcode',
    saveUninitialized: false,
    resave: false,
    store: store,
    cookie: {
        sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
        maxAge: 48 * 60 * 60 * 1000, // 48 hours
        secure: process.env.NODE_ENV === 'production',
        httpOnly: true
    }
}));

• 强制在Heroku后台设置NODE_ENV=production环境变量，避免自动识别失败导致sameSite和secure未切换到生产模式。
• SameSite=None必须和Secure=true同时启用，这是跨域Cookie保存的硬性要求，缺一不可。

3. 确保代理信任设置生效 #

你已添加：

app.set('trust proxy', 1);

• Heroku使用反向代理，Node.js需要信任代理才能正确识别HTTPS请求，进而启用secure Cookie。
• 可尝试将值改为true（app.set('trust proxy', true)），适配Heroku的多层代理结构。

4. 修复Passport认证后的会话持久化 #

你的Passport回调路由：

userRouter.get('/facebook/callback',
   passport.authenticate('facebook', { 
    failureRedirect: getProductionURL('/login'), 
    failureMessage: true, 
    successRedirect: getProductionURL('/profile') }),
   (req, res) => res.redirect(getProductionURL('/profile')));

• 认证成功后，确保req.user已被正确序列化到Session中。可在/get-user接口添加日志：

  userRouter.get('/get-user', async (req, res, next) => {
      console.log('Session data:', req.session);
      console.log('Current user:', req.user);
      try {   
          res.status(200).json(req.user);
      } 
      catch (error) {
          next(error);
      }
  });
  

  通过Heroku日志查看输出，确认Session是否正常生成。
• 前端/profile页面加载时，确保useEffect中的Axios请求会触发，且请求的是后端完整API地址。

5. 排查Session Store连接问题 #

如果使用了第三方Session Store（如Redis）：

• 确认Store在生产环境的连接参数正确，可临时注释store: store，改用默认内存Store测试。若Cookie能正常保存，说明Store连接存在问题，需重新配置生产环境的Store连接。

6. 前端Axios请求校验 #

你的前端请求代码：

axios.get(getProductionURL('/api/get-user'), { withCredentials: true })

• 确保getProductionURL('/api/get-user')返回后端完整HTTPS地址（如https://your-backend.herokuapp.com/api/get-user），跨域请求必须使用完整域名。
• 检查是否有Axios拦截器修改了withCredentials配置，确保该参数始终为true。

内容的提问来源于stack exchange，提问作者daniel sas