生产环境下Express Session跨域不持久、Cookie未存储问题

核心问题定位 #

你的问题核心是Cookie的Domain配置错误，以及Session保存时机不匹配，导致浏览器拒绝存储Cookie，进而Session无法跨请求持久化。

具体修复步骤 #

1. 修正Cookie的Domain配置 #

你当前将Cookie的domain设置为前端Netlify域名，这是错误的。Cookie由后端Heroku服务器下发，domain必须指向后端服务器的域名，或者留空让浏览器自动使用当前请求的域名（推荐）。

修改express-session的Cookie配置：

cookie: {
  maxAge: 1000 * 60 * 60 * 12,
  sameSite: process.env.NODE_ENV === "production" ? "none" : "lax",
  secure: process.env.NODE_ENV === "production",
  path: "/",
  // 删掉错误的domain配置，或者改为后端域名
  // domain: "gentle-spire-83185-d5ea8d952a7d.herokuapp.com"
}

原因：浏览器不允许A域名的服务器设置B域名的Cookie，这属于跨域非法操作，会直接拒绝存储。

2. 确保Session保存完成后再返回响应 #

你当前在req.session.save()调用后直接返回响应，可能存在Session还未持久化到Sequelize Store，响应就已发送的情况，导致Cookie与后端Session不匹配。

修改登录路由的响应逻辑：

if (existingUser.checkPassword(req.body.password, existingUser.password)) {
  // set and save logged in user on session object
  req.session.userId = existingUser.id;
  req.session.save(function (err) {
    if (err) return next(err);
    console.log(req.session);
    // 在save回调内返回响应，确保Session已持久化
    return res.status(200).send(req.session);
  });
}

3. 验证浏览器第三方Cookie设置 #

跨域场景下，后端Cookie对前端来说属于第三方Cookie，部分浏览器（如Chrome、Safari）默认会阻止这类Cookie。检查浏览器隐私设置：

• 确保未开启"阻止第三方Cookie"选项
• 若必须开启，当前配置的SameSite=None+Secure是符合规范的正确设置

4. 确认CORS与Proxy配置 #

• 你的CORS配置origin和credentials: true是正确的，保持不变
• Heroku是反向代理，app.set("trust proxy", 1)配置正确，确保Express能正确识别客户端IP和HTTPS协议

验证步骤 #

1. 部署修改后的后端代码到Heroku
2. 前端登录后，查看浏览器开发者工具的「应用」-「Cookie」面板，确认是否存在来自后端Heroku域名的Cookie
3. 发起后续鉴权请求时，检查请求头是否携带了该Cookie

内容的提问来源于stack exchange，提问作者Nirav Venkatesan