Express后端配置是否正确？CORS导致浏览器Cookie无法设置

问题核心 #

浏览器无法跨域设置Cookie，但Postman/Insomnia测试正常，本质是：

• 测试工具不严格遵循浏览器CORS规则，而浏览器要求跨域携带Cookie时，必须同时满足CORS凭证配置和Cookie属性要求；
• 当前代码同时使用自定义CORS头中间件与cors()包，导致响应头冲突，且未配置跨域凭证关键参数。

修复步骤 #

1. 删除冲突的自定义CORS中间件 #

移除手动设置响应头的代码，改用cors包统一配置：

// 删掉这段代码
app.use(function (req, res, next) {
  res.header("Access-Control-Allow-Origin", "http://localhost:8080");
  res.header(
    "Access-Control-Allow-Headers",
    "Origin, X-Requested-With, Content-Type, Accept"
  );
  next();
});

2. 正确配置cors中间件 #

开启跨域凭证支持，同时指定明确的前端域名（带凭证的请求不允许用*作为origin）：

app.use(cors({
  origin: "http://localhost:8080", // 替换为你的前端实际地址
  credentials: true, // 允许跨域携带Cookie
  allowedHeaders: ["Origin", "X-Requested-With", "Content-Type", "Accept"]
}));

3. 修正express-session的Cookie配置 #

• expires参数需为毫秒值，当前60*60*24是秒数，需乘以1000转为24小时；
• 跨域场景下配置sameSite属性（'lax'适配大部分场景，若为跨域名HTTPS请求可改为'none'，但需配合secure: true）；

app.use(
  session({
    key: "userId",
    secret: "sistem",
    resave: false,
    saveUninitialized: false,
    cookie: {
      expires: 60 * 60 * 24 * 1000, // 修正为毫秒单位的24小时
      sameSite: "lax", // 跨域时按需改为'none'（需启用secure）
      // secure: true, // 仅HTTPS环境下启用
      httpOnly: true // 保持true可防止前端XSS读取Cookie，更安全
    },
  })
);

4. 前端请求需携带凭证 #

确保前端发起请求时开启凭证携带（以Axios为例）：

axios.get('http://localhost:3000/api', { withCredentials: true })

完整修正后的index.js代码 #

const express = require("express");
const app = express();
const cors = require("cors");
const bodyParser = require("body-parser");
const cookieParser = require("cookie-parser");
const session = require("express-session");
const usersRouter = require("./routes/users");
const authRouter = require("./routes/auth");
const logoutRouter = require("./routes/logout");
const vehicleRouter = require("./routes/vehicle");
const dashboardRouter = require("./routes/dashboard");

app.use(express.json());

// 统一配置CORS
app.use(cors({
  origin: "http://localhost:8080",
  credentials: true,
  allowedHeaders: ["Origin", "X-Requested-With", "Content-Type", "Accept"]
}));

app.use(cookieParser());
app.use(bodyParser.urlencoded({ extended: true }));

// 修正session的Cookie配置
app.use(
  session({
    key: "userId",
    secret: "sistem",
    resave: false,
    saveUninitialized: false,
    cookie: {
      expires: 60 * 60 * 24 * 1000,
      sameSite: "lax",
      httpOnly: true
    },
  })
);

app.use("/", authRouter);
app.use("/", usersRouter);
app.use("/", logoutRouter);
app.use("/", vehicleRouter);
app.use("/", dashboardRouter);

app.listen(3000, () => {
  console.log("Server je pokrenut");
});

内容的提问来源于stack exchange，提问作者Dragan