页面导航时Passport用户会话不持久化，刷新后丢失会话

1. 会话Cookie属性配置检查 #

后端设置Cookie时，以下属性直接影响持久化效果：

• Secure：HTTPS环境下必须设为true，否则浏览器会拒绝保存Cookie；开发环境（HTTP）可设为false，但生产环境必须开启。
• SameSite：避免设为Strict（跨页面导航会丢失Cookie），推荐用Lax（兼容大部分场景），若需跨域传递则设为None（必须配合Secure）。
• maxAge/expires：未设置时Cookie为会话级（关闭浏览器即失效），需指定有效期让浏览器持久化存储，比如设置1天有效期。

检查Server.js中Cookie设置代码，示例：

res.cookie('connect.sid', req.session.id, {
  httpOnly: true,
  secure: process.env.NODE_ENV === 'production',
  sameSite: 'Lax',
  maxAge: 24 * 60 * 60 * 1000
});

2. 后端会话存储与Passport验证逻辑 #

• 会话存储：如果用express-session默认的MemoryStore，服务器重启后会话会丢失，但刷新页面不该丢失；若用Redis/MongoDB等持久化存储，检查db.js中的连接状态，确认会话数据能正常写入和读取。
• Passport序列化/反序列化：passport.js中需确保serializeUser和deserializeUser正确关联用户与会话：

passport.serializeUser((user, done) => {
  done(null, user.id); // 仅序列化用户ID到会话
});

passport.deserializeUser(async (id, done) => {
  try {
    const user = await User.findById(id);
    done(null, user); // 从数据库反序列化用户信息
  } catch (err) {
    done(err);
  }
});

3. 前端请求配置验证 #

• 全局开启withCredentials：确认axios.js中是全局设置而非仅个别请求：

axios.defaults.withCredentials = true;

• 页面刷新后的会话校验：User组件在页面加载时需主动发起会话验证请求（比如GET /api/auth/user），不能仅依赖本地状态；打开浏览器开发者工具（Application→Cookies），刷新前后查看Cookie是否存在：
  • 若Cookie消失：后端未正确设置持久化Cookie；
  • 若Cookie存在但后端返回未登录：会话存储或Passport反序列化逻辑异常。

4. CORS配置细节 #

后端CORS必须满足两个条件：

• origin设为具体前端域名（不能用*），比如：

app.use(cors({
  origin: 'http://localhost:3000', // 匹配前端实际域名
  credentials: true
}));

• 确保OPTIONS预检请求被正确处理，cors中间件会自动处理，自定义路由时不要拦截OPTIONS请求。

内容的提问来源于stack exchange，提问作者Michael