Express项目中跨POST请求无法访问req.session变量的技术求助

你遇到的核心问题是跨请求时Session变量丢失，导致后续接口拿不到req.session.loggedin等字段，主要是Session配置、异步逻辑、CORS设置这几个地方出了问题，下面一步步帮你修复：

1. 修正client-sessions的配置 #

你的Session配置里secure: true是个大坑！本地开发用的是HTTP协议，而secure: true会让浏览器只在HTTPS环境下保存Session Cookie，所以本地调试时这个Cookie根本不会被存在浏览器里，后续请求自然带不上Session信息。

把配置改成：

app.use(session({
  cookieName: 'session',
  secret: 'top99secret',
  duration: 30 * 60 * 1000,
  activeDuration: 5 * 60 * 1000,
  httpOnly: true,
  secure: process.env.NODE_ENV === 'production', // 生产环境再开secure，本地开发自动为false
  ephemeral: true
}));

这样本地开发时Cookie能正常被浏览器保存，生产环境部署到HTTPS时再自动启用secure。

2. 修复异步逻辑导致的Session设置延迟 #

在POST /server的路由里，你先执行了数据库查询（异步操作），然后立刻去判断req.session.loggedin——这时候数据库查询还没完成，req.session.loggedin还没被赋值，所以判断逻辑会失效，而且你提前调用了res.end()，导致后续的页面渲染逻辑根本不会执行！

要把页面跳转逻辑放到数据库查询的回调函数里，确保Session变量在跳转前已经被正确设置：

app.post('/server', (req, res) => {
  const username = req.body.isim;
  const userpwd = req.body.sifre;

  if (!username || !userpwd) {
    return res.send('Lütfen isim ve şifre giriniz!');
  }

  con.query('SELECT * FROM havuzs_sakinleri WHERE isim = ? AND sifre = ?', [username, userpwd], function(err, rows) {
    if (err) throw err; // 别忘了处理数据库查询错误

    if (rows.length > 0) {
      req.session.loggedin = true;
      req.session.username = username; // 直接存用户名，避免重复读取body
      req.session.rows = rows;

      // 在这里判断用户类型，Session已经设置完成
      if (username !== 'Yonetim') {
        return res.render('userdatapg', { rows });
      } else {
        return res.render('mgtmenupg');
      }
    } else {
      alert('İsim ve şifre veri tabanında bulunamadı. Lütfen geçerli bir isim/şifre girin!');
      return res.redirect('/loginpg'); // 验证失败跳回登录页
    }
  });
});

3. 配置CORS允许携带Credentials #

因为你的前后端是跨域的，默认情况下浏览器不会携带Cookie到后端，所以需要在CORS配置里允许credentials，同时前端请求时要设置withCredentials: true（比如用fetch或axios时）。

后端CORS配置改成：

app.use(cors({
  origin: 'http://localhost:你的前端端口', // 明确指定前端域名，不要用*，否则credentials不生效
  credentials: true
}));

前端请求示例（fetch）：

fetch('/server', {
  method: 'POST',
  credentials: 'include',
  // 其他请求参数...
});

这样浏览器才会把Session Cookie带到后续请求里，后端才能正确读取Session变量。

4. 避免嵌套路由注册 #

你在POST /mgtmenupg/:btnno里嵌套了app.post('/userpmtpg')，这会导致每次请求/mgtmenupg/:btnno时都重新注册一次/userpmtpg路由，多次注册会导致逻辑混乱甚至报错。应该把这些路由拆出来单独定义：

// 单独定义管理员缴费页面的POST路由
app.post('/userpmtpg', (req, res) => {
  // 先验证管理员登录状态
  if (!req.session.loggedin || req.session.username !== 'Yonetim') {
    return res.redirect('/loginpg');
  }

  var username = req.body.username;
  var pmtmnth = req.body.pmt_mnth;
  var pmtamt = req.body.pmt_amt;

  queryusername(username, function(response) {
    if (response == 'Found') {
      updateUsrPmtData(username, pmtmnth, pmtamt, function(response) {
        alert(response);
        return res.render('mgtmenupg');
      });
    } else if (response == 'Not found') {
      res.send('İsim veri tabanında bulunamadı. Ana sayfaya dönmek için lütfen Ana sayfa butonuna tıklayınız!');
    } else {
      res.send('Site sakini ismi veri tabanında aranırken sorun oluştu.');
    }
  });
});

// 定义管理菜单按钮路由
app.post('/mgtmenupg/:btnno', (req, res) => {
  // 先验证管理员登录状态
  if (!req.session.loggedin || req.session.username !== 'Yonetim') {
    return res.redirect('/loginpg');
  }

  if (req.params.btnno == 1) {
    return res.render('userpmtpg');
  } else if (req.params.btnno == 2) {
    return res.render('deluserpg');
  }
  // 其他按钮逻辑...
});

// 单独定义删除用户页面的POST路由
app.post('/deluserpg', (req,res) => {
  if (!req.session.loggedin || req.session.username !== 'Yonetim') {
    return res.redirect('/loginpg');
  }

  var username = req.body.username;
  queryusername(username, function(response) {
    if (response == 'Found') {
      deleteUser(username, function(response) {
        alert(response);
        return res.render('mgtmenupg');
      });
    } else if (response == 'Not found') {
      alert('İsim veri tabanında bulunamadı. Lütfen sistemde mevcut bir isim girin.');
      return res.render('deluserpg');
    } else {
      res.send('Site sakini ismi veri tabanında aranırken sorun oluştu.');
    }
  });
});

5. 给受保护路由加登录验证 #

所有需要权限的路由（比如管理菜单、用户操作页面）都要先检查req.session.loggedin和用户身份，防止未登录用户直接访问，就像上面代码里做的那样。

最后测试的时候，打开浏览器开发者工具（F12）的Application标签，查看Cookie列表里是否存在session Cookie，这能快速判断Session是否被正确保存。

内容的提问来源于stack exchange，提问作者user16617036