Nuxt2中能否创建仅存于服务端的Cookie？

答案是：无法创建完全仅存储在服务端的Cookie

核心原因 #

Cookie的本质是服务端通过Set-Cookie响应头发送给浏览器的凭据，浏览器会负责存储并在后续请求中携带。哪怕设置了HttpOnly属性（禁止前端JS读取），这个Cookie依然会出现在浏览器开发者工具的Application面板中——HttpOnly只是防XSS攻击，无法隐藏Cookie本身。

替代方案：实现服务端独占的状态存储 #

如果你需要仅服务端保存业务数据、浏览器无法看到真实敏感信息的效果，可以用以下方式在Nuxt2中实现：

1. 基于express-session的服务端会话

Nuxt2的服务端基于Node.js/Express生态，可以集成express-session，把核心数据存在服务端（内存、Redis或数据库），浏览器只存一个无意义的会话ID Cookie：

• 步骤1：安装依赖

npm install express-session connect-redis redis

• 步骤2：在nuxt.config.js中配置服务端中间件

export default {
  serverMiddleware: [
    '~/server-middleware/session.js'
  ]
}

• 步骤3：编写会话中间件server-middleware/session.js

const session = require('express-session')
const RedisStore = require('connect-redis')(session)
const redis = require('redis')

const client = redis.createClient({
  // 配置你的Redis连接信息，比如host: 'localhost', port: 6379
})

module.exports = function (req, res, next) {
  session({
    secret: 'your-strong-secret-key', // 用于加密会话ID的密钥
    resave: false,
    saveUninitialized: false,
    store: new RedisStore({ client }), // 把会话数据存在Redis
    cookie: {
      httpOnly: true, // 禁止前端JS读取
      secure: process.env.NODE_ENV === 'production', // 生产环境仅HTTPS传输
      maxAge: 24 * 60 * 60 * 1000 // 会话有效期1天
    }
  })(req, res, next)
}

• 步骤4：在服务端上下文使用会话
  在asyncData或自定义API中，通过req.session操作服务端存储的数据：

// 页面组件的asyncData
async asyncData({ req }) {
  // 服务端可直接访问会话数据
  if (req.session.userInfo) {
    return { user: req.session.userInfo }
  }
  return { user: null }
}

这种方式下，浏览器只会看到一个connect.sid的Cookie（仅会话ID），真实的业务数据存在服务端Redis中，浏览器完全无法获取。

2. 自定义服务端中间件+独立存储

如果不想用会话插件，可以自己写服务端中间件，用Redis/数据库存储状态，通过请求头传递唯一标识（比如自定义的token），但要注意token的安全性（比如设置短有效期、HTTPS传输）。

3. 单次请求的服务端临时存储

如果只需要在单次服务端渲染请求中临时存储数据，可以直接用Nuxt的context对象（比如context.state），但这种数据不会持久化，请求结束后就会销毁。

内容的提问来源于stack exchange，提问作者BT101