express session中returnTo行为异常：POST请求前URL被移除

核心问题定位 #

你遇到的是req.session.returnTo在GET /login时存在，但POST登录请求发起前被莫名移除的问题，核心排查方向是GET到POST请求之间的环节，和登录路由里的delete语句无关。

具体排查与修复步骤 #

• 检查登录表单提交逻辑
  确认登录表单的method为POST，没有前端JS代码在提交前修改/清空session。比如某些自定义脚本或框架可能在提交时做跳转、缓存清理操作，意外影响session数据。同时确保表单正确提交至/login，未被其他中间件拦截重定向导致session重置。

• 核对express-session配置
  检查saveUninitialized和resave参数：如果saveUninitialized: false，当session未被主动修改时可能不会持久化，但你已设置returnTo，理论上会触发保存，可临时改为saveUninitialized: true测试。另外确认session存储方式（内存/Redis等）无失效情况，内存存储在开发环境下服务重启会丢失，但你是同会话内丢失，所以重点看中间件逻辑。

• 梳理中间件执行顺序
  设置returnTo的中间件必须放在所有路由、passport初始化之前。如果顺序颠倒，可能在设置returnTo前就有其他中间件修改了session。同时排查权限校验、日志类中间件，看是否有代码误删returnTo字段。

• 添加日志精准定位
  在关键节点加日志，追踪returnTo的变化：

  1. 设置returnTo的中间件：

  app.use((req, res, next) => {
    if (!req.isAuthenticated() && req.path !== '/login' && req.method !== 'POST') {
      req.session.returnTo = req.originalUrl;
      console.log('已设置returnTo:', req.session.returnTo);
      console.log('当前session:', req.session);
    }
    next();
  });
  

  2. GET /login路由：

  router.get('/login', (req, res) => {
    console.log('GET /login时的session:', req.session);
    res.render('login');
  });
  

  3. POST /login入口：

  router.post(
    '/login',
    (req, res, next) => {
      console.log('POST /login刚进入时的session:', req.session);
      next();
    },
    passport.authenticate('local', {
      failureFlash: true,
      failureRedirect: '/login',
    }),
    (req, res) => {
      const redirectUrl = req.session.returnTo || '/home';
      delete req.session.returnTo;
      res.redirect(redirectUrl);
    }
  );
  

  通过日志可以明确returnTo消失的具体环节，再针对性修复。

• 修正中间件顺序示例
  确保中间件执行顺序正确：

// 1. 先初始化session
app.use(session({
  secret: 'your-secret-key',
  resave: false,
  saveUninitialized: true,
  cookie: { secure: process.env.NODE_ENV === 'production' }
}));

// 2. 设置returnTo中间件
app.use((req, res, next) => {
  if (!req.isAuthenticated() && req.path !== '/login' && req.method !== 'POST') {
    req.session.returnTo = req.originalUrl;
  }
  next();
});

// 3. 初始化passport
app.use(passport.initialize());
app.use(passport.session());

// 4. 挂载路由
app.use('/', router);

内容的提问来源于stack exchange，提问作者Talib Ibrahim