如何根据HTTP/HTTPS请求动态设置express-session的cookie secure属性

核心问题原因 #

在HTTPS环境下，浏览器会出于安全策略阻止secure: false的Cookie；而本地HTTP环境又不能使用secure: true，否则Cookie无法正常保存。因此需要根据当前请求的协议动态切换该属性。

解决方案步骤 #

1. 信任代理头（关键前提）
   如果你的应用部署在反向代理（如Nginx、Heroku、AWS ELB等）之后，必须先配置Express信任代理的请求头，否则req.secure和req.protocol无法正确识别HTTPS请求：

app.set('trust proxy', true);

2. 动态配置session的cookie.secure属性
   将secure的值从固定布尔值改为一个函数，通过req.secure判断当前请求是否为HTTPS，自动切换属性：

app.use(require('express-session')({
    secret: process.env.SESSION_SECRET,
    cookie: {
        maxAge: 24 * 60 * 60 * 1000,
        // 动态判断：HTTPS请求设为true，HTTP请求设为false
        secure: (req) => req.secure,
        // 可选：添加sameSite属性优化跨站场景（如支付网关交互）
        sameSite: 'lax'
    },
    // 遵循express-session官方最佳实践
    resave: false,
    saveUninitialized: false
}));

补充说明 #

• req.secure是Express内置属性，当请求通过HTTPS（或反向代理转发的HTTPS）时返回true，HTTP时返回false。
• 你之前手动设置secure: true但输出仍为false，大概率是因为未配置trust proxy，导致Express无法识别HTTPS请求，自动将secure降级为false。
• 将resave和saveUninitialized设为false，可减少不必要的session存储操作，提升性能。

内容的提问来源于stack exchange，提问作者Sifat Sikder