Rails 7后端部署Heroku后登录Session无法保存问题求助

1. 确保Fetch请求携带Credentials #

React的fetch默认不会在跨域请求中发送Cookie，必须显式配置credentials选项。检查所有涉及会话的请求（登录、状态检查、登出），确保添加以下配置：

fetch('https://floating-journey-28678.herokuapp.com/api/session', {
  method: 'GET',
  credentials: 'include' // 关键配置，确保请求携带Cookie
})

无论请求方法是GET还是POST，只要涉及会话状态，都需要加上该配置。

2. 调整Rails Cookie的SameSite与Secure设置 #

Heroku使用HTTPS环境，Rails默认的Cookie SameSite规则在跨域场景下会被浏览器拦截。修改config/initializers/session_store.rb：

Rails.application.config.session_store :cookie_store, key: '_your_app_session',
  same_site: :none,
  secure: true,
  domain: :all # 若前后端域名不同，可设置为后端具体域名

同时在config/environments/production.rb中补充：

config.action_dispatch.cookies_same_site_protection = :none
config.force_ssl = true # 强制HTTPS，符合Heroku部署规范

注意：same_site: :none必须配合secure: true，否则浏览器会拒绝存储该Cookie。

3. 验证CSRF Token传递 #

跨域场景下CSRF Token容易出现遗漏，需确保请求携带正确的Token：

• 若为常规Rails应用，在布局文件中添加CSRF元标签：

<meta name="csrf-token" content="<%= form_authenticity_token %>">

• 前端获取Token并在请求头中携带：

const csrfToken = document.querySelector('meta[name="csrf-token"]').content;

fetch('https://floating-journey-28678.herokuapp.com/api/login', {
  method: 'POST',
  credentials: 'include',
  headers: {
    'Content-Type': 'application/json',
    'X-CSRF-Token': csrfToken
  },
  body: JSON.stringify({ user: { email: 'test@example.com', password: 'password' } })
})

若为纯API模式，可在ApplicationController中添加方法返回CSRF Token：

def set_csrf_token_header
  response.set_header('X-CSRF-Token', form_authenticity_token)
end

通过before_action调用该方法，前端从响应头获取Token后保存，后续请求统一携带。

4. 检查Rails Session存储配置 #

确认Heroku上已正确设置secret_key_base：

• 查看现有配置：

heroku config:get SECRET_KEY_BASE

• 若未设置，生成并配置：

heroku config:set SECRET_KEY_BASE=$(rails secret)

同时确认config/environments/production.rb中Session存储配置正确：

config.session_store :cookie_store, key: '_your_app_session'

5. 验证浏览器Cookie属性 #

打开浏览器开发者工具的Application标签，检查Cookie属性：

• 确认SameSite为None
• 确认Secure选项已勾选
• 确认Domain属性与后端域名匹配
• 确认Expires/Max-Age未过期

若以上属性不符合要求，浏览器会阻止Cookie发送，导致Session无法维持。

内容的提问来源于stack exchange，提问作者Roy Lee