自定义域名下GAE+Cloudflare环境中Express会话无法持久化

问题根源 #

Cloudflare Flexible HTTPS模式下，用户和Cloudflare之间走HTTPS，但Cloudflare到你的App Engine实例是HTTP协议。express-session默认会根据当前请求的协议判断是否给Cookie加secure属性——如果是HTTP就不加，可用户端实际是HTTPS，浏览器会因为Cookie没有secure标记而拒绝保存，自然就没法完成身份认证。

修复步骤 #

1. 让Express信任Cloudflare代理 #

在你的Express应用开头加上这行，让它识别代理过来的请求，正确获取用户端的实际协议：

app.set('trust proxy', true);

要是想更安全，可以指定Cloudflare的IP段，不过一般用true就能解决问题。

2. 调整session Cookie的配置 #

修改express-session的Cookie参数，确保这几个关键配置到位：

app.use(session({
  secret: '你的密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    secure: true, // 开启后，Express会结合trust proxy判断实际协议，正确添加secure标记
    sameSite: 'none', // 前后端跨域的话必须设成none，同域可以用lax或strict
    domain: '.你的自定义域名.com', // 前缀加个点，适配子域名（如果有的话）
    httpOnly: true, // 保持开启，防止XSS攻击
    maxAge: 24 * 60 * 60 * 1000 // 按需设置Cookie过期时间，这里是一天
  }
}));

3. 检查Cloudflare的SSL设置 #

• 确认SSL模式是Flexible（你已经配置过，再核对下）
• 打开Cloudflare的「SSL/TLS」→「Edge Certificates」，开启「Always Use HTTPS」和「Automatic HTTPS Rewrites」，避免混合内容导致的问题

4. 验证Passport的序列化逻辑 #

确保Passport的用户序列化/反序列化没毛病，比如：

passport.serializeUser((user, done) => {
  done(null, user.id);
});

passport.deserializeUser((id, done) => {
  // 这里替换成你根据id查询用户的实际代码
  User.findById(id, (err, user) => {
    done(err, user);
  });
});

测试方法 #

部署修改后的代码到App Engine，用自定义域名访问。打开浏览器F12，进入「Application」→「Cookies」，看看有没有你的session Cookie。要是能看到，而且属性里有secure、HttpOnly这些标记，就说明配置成功了。

内容的提问来源于stack exchange，提问作者SamB