NestJS基于Session鉴权：浏览器未设置SessionId Cookie问题

问题背景 #

基于NestJS实现Session鉴权，Postman测试登录功能正常，但浏览器登录后SessionId未被写入Cookie。

核心原因 #

1. CORS配置未允许Cookie传递：默认enableCors()不开启credentials，浏览器跨域请求时会自动忽略响应头中的Set-Cookie
2. Session Cookie配置不符合浏览器安全规则：缺少httpOnly、sameSite等必要属性，浏览器拒绝保存此类Cookie

分步解决 #

1. 调整CORS配置 #

修改enableCors，明确允许携带Cookie并指定合法前端源（不能用*通配符）：

app.enableCors({
  credentials: true,
  origin: 'http://localhost:3000', // 替换为你的实际前端域名+端口
});

2. 完善Session中间件的Cookie参数 #

更新session配置，添加适配浏览器安全策略的Cookie属性：

app.use(
  session({
    secret: sessionSecret,
    resave: false,
    saveUninitialized: false,
    cookie: {
      maxAge: 60 * 60 * 1000, // 1小时有效期
      httpOnly: true, // 禁止JS读取Cookie，防范XSS
      sameSite: 'lax', // 适配跨域场景，平衡安全与可用性
      secure: process.env.NODE_ENV === 'production', // 生产环境HTTPS下启用
    },
  }),
);

3. 前端请求配置 #

前端发起登录请求时，需开启携带Cookie的配置：

• Axios示例：

axios.post('/api/login', loginForm, { withCredentials: true });

• Fetch示例：

fetch('/api/login', {
  method: 'POST',
  credentials: 'include',
  body: JSON.stringify(loginForm),
  headers: { 'Content-Type': 'application/json' },
});

验证步骤 #

1. 打开浏览器开发者工具的Network面板，查看登录请求的响应头是否包含Set-Cookie
2. 查看Application面板的Cookie列表，确认SessionId已被写入
3. 后续请求的Request头是否自动携带Cookie

内容的提问来源于stack exchange，提问作者KaiLee