Express中间件中req.cookies为空，如何获取Cookie？

针对你遇到的问题——前端请求已携带Cookie但Express的req.cookies为空，核心原因基本集中在跨域请求的Cookie传递配置缺失，以下是具体排查和解决步骤：

1. 确认Express已正确挂载cookie-parser #

首先检查你的Express主文件（比如app.js或server.js），是否在路由之前挂载了cookie-parser中间件：

const cookieParser = require('cookie-parser');
// 必须在路由配置之前调用
app.use(cookieParser());

如果没加这一步，req.cookies必然是空对象，这是最容易忽略的基础配置。

2. 前端请求必须显式携带Credentials #

跨域请求时，浏览器默认不会自动携带Cookie，你需要在SvelteKit的请求中开启credentials选项：

• 用fetch的示例：

fetch('http://localhost:3000/api/is-auth', {
  method: 'GET',
  credentials: 'include' // 关键：强制携带Cookie
});

• 用axios的示例：

axios.get('http://localhost:3000/api/is-auth', {
  withCredentials: true
});

3. 后端CORS必须允许Credentials #

即使请求能正常到达后端，跨域带Cookie也必须配置CORS的两个关键参数：

• origin不能设为*，必须指定前端的具体域名（比如http://localhost:5173）
• 开启credentials: true

Express的cors配置示例：

const cors = require('cors');
app.use(cors({
  origin: 'http://localhost:5173', // 你的SvelteKit前端地址
  credentials: true
}));

4. 调整Cookie的Domain和SameSite配置 #

因为前后端是不同端口的localhost，需要确保Cookie的配置能被跨端口识别：
修改设置Cookie的代码：

res.cookie("authToken", jwToken, {
  httpOnly: true,
  sameSite: 'lax', // 适配localhost跨端口场景，若用HTTPS可设为'none'（需配合secure: true）
  domain: 'localhost', // 明确指定域名，确保不同端口共享Cookie
  path: '/' // 确保所有路由都能访问该Cookie
});

注意：如果设置sameSite: 'none'，必须同时开启secure: true，但localhost下HTTP协议无法使用secure，所以开发环境用lax更合适。

5. 再次验证请求头中的Cookie #

最后确认开发者工具的请求头（而非响应头）里是否真的包含Cookie: authToken=xxx字段，有时候可能误把响应的Set-Cookie当成了请求的Cookie。

内容的提问来源于stack exchange，提问作者JavierMalaguita