JWT Token存入Cookie无效，Cookie为空的技术问题咨询

针对你提供的登录接口代码，Cookie设置无效可从以下几个方向逐一排查：

1. Secure 属性的环境限制 #

你的Cookie配置中设置了Secure: true，该属性要求仅在HTTPS协议环境下浏览器才会保存Cookie。如果当前是本地HTTP开发环境（如http://localhost），浏览器会直接忽略这条Cookie。

• 修复方案：开发环境临时关闭Secure，生产环境再开启：

  const options = {
    expires: new Date(Date.now() + process.env.COOKIE_EXPIRES_TIME * 24 * 60 * 60 * 1000),
    httpOnly: true,
    Secure: process.env.NODE_ENV === 'production' // 仅生产环境启用
  }
  

2. 环境变量COOKIE_EXPIRES_TIME配置异常 #

如果process.env.COOKIE_EXPIRES_TIME未正确配置（值为0、undefined或非数字），会导致Cookie过期时间被设为过去的时间，浏览器会立即丢弃该Cookie。

• 修复方案：检查.env文件中是否配置了有效值（如7代表7天），或直接用硬编码值测试：

  expires: new Date(Date.now() + 7 * 24 * 60 * 60 * 1000) // 硬编码7天过期时间
  

3. 跨域场景下的Cookie限制 #

若前端与后端跨域部署（如前端http://localhost:3000、后端http://localhost:5000），需同时满足以下条件：

• 后端CORS配置允许携带凭证：例如使用cors中间件时设置credentials: true
• 前端请求需开启withCredentials：比如Axios中配置axios.defaults.withCredentials = true
• Cookie需配置SameSite属性：开发环境可设为'Lax'，生产环境配合Secure设为'None'：

  const options = {
    // ...其他配置
    SameSite: process.env.NODE_ENV === 'production' ? 'None' : 'Lax'
  }
  

4. 浏览器端限制 #

• 检查浏览器是否开启隐私模式，部分隐私模式会限制Cookie存储
• 查看浏览器开发者工具Application -> Cookies面板，确认是否有Cookie记录
• 检查浏览器Cookie存储是否已满

额外安全提示 #

当前代码直接明文比较密码的做法存在严重安全风险，建议改用bcrypt等哈希算法验证：

// 替换原密码比较逻辑
const isPasswordValid = await bcrypt.compare(password, user.password);
if (!isPasswordValid) {
  return res.status(401).json({ message: "Invalid password" });
}

内容的提问来源于stack exchange，提问作者Zulqarnain Haider