Express中cookie-parser生效但req.cookies无法获取refreshToken求助

问题场景 #

Express项目中使用cookie-parser存储refreshToken，登录时已成功写入cookie，但/token接口通过req.cookies.refreshToken始终获取到undefined，导致返回401。

排查与解决方法 #

1. 修正Cookie的SameSite与Secure属性 #

跨域场景下，默认的SameSite: Lax会阻止cookie携带。需显式配置SameSite: None，同时搭配secure属性（生产环境开启，开发环境关闭，否则http下cookie无法写入）：

res.cookie("refreshToken", refreshToken, {
  httpOnly: true,
  maxAge: 24 * 60 * 60 * 1000, // 修正毫秒数：原100秒改为1天
  sameSite: "None",
  secure: process.env.NODE_ENV === "production"
});

2. 检查CORS配置的准确性 #

确保CORS的origin与前端地址完全匹配（协议、域名、端口），同时credentials: true必须开启：

app.use(cors({ 
  credentials: true, 
  origin: "http://localhost:3000" // 若有多个前端地址，可改用数组或动态判断
}));

3. 修正maxAge的毫秒计算错误 #

原代码中maxAge: 24 * 60 * 60 * 100仅为100秒，cookie会快速过期，导致后续请求无法获取。需改为24 * 60 * 60 * 1000（对应1天有效期）。

4. 验证前端请求与后端地址一致性 #

确认前端请求的http://localhost:5000/token和后端服务运行地址完全一致，无端口、协议（http/https）拼写错误。

5. 检查浏览器隐私设置 #

部分浏览器隐私模式或默认设置会拦截跨域第三方cookie，测试时切换至正常模式，或开启浏览器允许第三方cookie的设置。

6. 确认Cookie名称大小写一致 #

确保登录时设置的cookie名称refreshToken与接口中req.cookies.refreshToken的大小写完全匹配（cookie名称区分大小写）。

验证步骤 #

1. 登录后打开浏览器开发者工具（F12），在Application > Cookies > http://localhost:5000下查看refreshToken的属性（有效期、domain、sameSite等）是否正确。
2. 在/token接口的请求中，查看Network面板的Request Headers，确认是否携带Cookie: refreshToken=xxx头信息：
   • 若无Cookie：检查前端withCredentials: true是否开启，以及CORS配置是否正确。
   • 若有Cookie但后端无法获取：确认cookie-parser中间件挂载在所有路由之前。

内容的提问来源于stack exchange，提问作者Ahmed mehamedyesuf