登出时初始SessionId与最终SessionId不匹配问题排查

创建Session代码 #

async createSession(req, userId, moreData) {       
    try {
        const session = req.session;
        session.userId = userId;
        session.moreData = {
           ...moreData
        }
        session.save();
        console.log(`SessionId=${session.id}`); // 输出：31ZCfRxGietdQLwVzi7c3KvgRh3mPCiq
    } catch (e) { }
}

登出代码 #

req.session.destroy((err) => {
    if (err) {
        console.log('Error destroying session:', err);
    } else {
        store.destroy(sessionId, (err) => {
            if (err) {
                console.log('Error destroying session in store:', err);
            } else {
                console.log(`Destroyed ${sessionId}`); // 输出：oh_TDhyipSZ35PYDjd9SU-IS3MYYjm5K
                res.redirect("/");
            }
        });
    }
});

Session配置 #

app.use(session({
    secret: SESSIONS_SECRET,
    resave: false,
    saveUninitialized: false,
    cookie: { secure: true, httpOnly: true, sameSite: 'none' },
    store: MongoStore.create({ mongoUrl: this.getSessionStoreURL() })
}));

前端登出调用代码 #

import axiosInstance from "axios";
const axios = axiosInstance.create({
   withCredentials: true
});
static async logOut(cb) {
  axios.get(EndPoints.LOG_OUT, {
    headers: await this.getRequestHeaders(),
  }).then((response) => {
  }).catch((e) => {
    console.log(e);
  });
}

原因分析及修复方案 #

1. 登出时使用了错误的SessionId #

你在登出代码里手动调用store.destroy(sessionId)时，传入的sessionId并非当前请求对应的req.session.id，而是从其他地方获取的无效ID，直接导致销毁的Session和创建的不是同一个。

另外，req.session.destroy()方法本身已经会自动清除当前Session在store中的数据，不需要额外调用store.destroy()，这属于重复操作且容易出错。

修复代码：

req.session.destroy((err) => {
    if (err) {
        console.log('Error destroying session:', err);
    } else {
        console.log(`Destroyed ${req.session.id}`); // 使用当前请求的SessionId
        res.redirect("/");
    }
});

2. 跨域配置问题 #

前端设置了withCredentials: true，但如果后端没有正确配置跨域响应头，会导致前端请求无法携带Session Cookie：

• 后端必须设置Access-Control-Allow-Credentials: true
• Access-Control-Allow-Origin不能设为*，必须指定具体的前端域名（比如https://your-frontend-domain.com）

如果跨域配置错误，后端会为每个请求创建新的Session，自然会出现前后SessionId不一致的情况。

3. Cookie的Secure设置不符合环境 #

你的Session配置里cookie.secure = true，这个配置要求只有在HTTPS环境下，浏览器才会保存并发送Session Cookie。如果是本地开发使用HTTP协议，浏览器会拒绝保存Cookie，导致每次请求都会生成新的Session，最终SessionId不一致。

修复： 根据环境动态设置secure值

cookie: { 
    secure: process.env.NODE_ENV === 'production', // 生产环境用true，开发环境用false
    httpOnly: true, 
    sameSite: 'none' 
},

内容的提问来源于stack exchange，提问作者ololo