Node.js Express响应自动设置Cookie导致登出失效问题排查

我正在开发一款Web应用，当前登录系统通过Cookie维持会话，现在要实现登出功能，原本思路是删除session Cookie，但不管用什么方式清除Cookie，Node.js Express返回响应时都会自动重新设置Cookie，导致没法有效登出，找不到原因。

技术栈 #

• Node.js Express服务器
• Passport Google登录
• express-session
• 前端React
• 请求工具Axios

客户端请求代码 #

const Logout = ({ login, setLogin }: Props ) => {
    useEffect(() => {
        const _response = axios({
            method: 'get',
            url: `http://127.0.0.1:3002/auth/logout`,
            withCredentials: true,

        }).then(res => {
            if(res.data === 'ok') setLogin(false)
            console.log(res.headers['session']);
            // window.location.replace('/projects')
        })

    }, [])
    return (<></>);
}

服务器响应代码 #

router.get("/logout", (req, res, next) => {
    res.clearCookie('session')
    res.setHeader('Set-Cookie', 'ppp')
    res.cookie('Set-Cookie', 'ZZZ', { maxAge: 900000, httpOnly: true })
    res.send('ok')
});

问题详情 #

从响应头可见多个Set-Cookie字段，最后一个session Cookie是自动插入的，其来源未知。我尝试过用Axios和Fetch发送请求，切换GET/POST方法，但均无效。该残留的session Cookie导致无法有效登出，无法切换其他Gmail账号登录，希望获得解决办法或更优方案。

请求信息 #

请求URL: http://127.0.0.1:3002/auth/logout
请求方法: GET
状态码: 200 OK
远程地址: 127.0.0.1:3002
Referrer策略: strict-origin-when-cross-origin

响应头 #

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: http://localhost:3000
Content-Length: 2
Content-Type: text/html; charset=utf-8
Date: Mon, 20 Feb 2023 08:51:14 GMT
ETag: W/"2-eoX0dku9ba8cNUXvu/DyeabcC+s"
Set-Cookie: ppp
Set-Cookie: Set-Cookie=ZZZ; Max-Age=900; Path=/; Expires=Mon, 20 Feb 2023 09:06:14 GMT; HttpOnly
Set-Cookie: session=s%3AVtFyrI9jABANw_5oY09xDlYulRwJZaT1.aaJWZJeCHRDU6XGgJMu7Zgs1axAIdVYMurucpvKnJ3c; Path=/; Expires=Mon, 20 Feb 2023 11:15:14 GMT; HttpOnly
Vary: Origin
X-Powered-By: Express

请求头 #

Accept: application/json, text/plain, */*
Accept-Encoding: gzip, deflate, br
Accept-Language: en-GB,en-US;q=0.9,en;q=0.8,it;q=0.7
Connection: keep-alive
Host: 127.0.0.1:3002
If-None-Match: W/"2-eoX0dku9ba8cNUXvu/DyeabcC+s"
Origin: http://localhost:3000
Referer: http://localhost:3000/
sec-ch-ua: "Chromium";v="106", "Google Chrome";v="106", "Not;A=Brand";v="99"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Linux"
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: cross-site
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36

解决方案 #

1. 核心原因 #

express-session中间件默认会在每次请求时检查session，若session存在且未过期，就会自动重新设置session Cookie（更新过期时间），这就是你看到的自动插入的session Cookie的来源。

2. 正确登出步骤 #

要彻底登出，需同时销毁服务器端session并清除客户端session Cookie，修改登出路由代码：

router.get("/logout", (req, res, next) => {
    // 销毁服务器端session
    req.session.destroy(err => {
        if (err) return next(err);
        // 清除客户端session Cookie，参数需和express-session配置一致
        res.clearCookie('session', { 
            path: '/',
            httpOnly: true
        });
        // 清除Passport登录状态
        req.logout(() => {
            res.send('ok');
        });
    });
});

3. 优化建议 #

• 登出请求改用POST方法，避免浏览器缓存或预请求问题；
• 前端登出成功后重定向到登录页，确保页面状态与登录状态同步：

const Logout = ({ login, setLogin }: Props ) => {
    useEffect(() => {
        axios({
            method: 'post',
            url: `http://127.0.0.1:3002/auth/logout`,
            withCredentials: true,
        }).then(res => {
            if(res.data === 'ok') {
                setLogin(false);
                window.location.href = '/login';
            }
        }).catch(err => console.error('登出失败:', err));
    }, [])
    return (<></>);
}

4. Google账号切换问题处理 #

若清除session后仍无法切换Gmail账号，可在Passport Google登录策略中添加prompt: 'select_account'参数，强制弹出账号选择界面：

router.get('/google', passport.authenticate('google', {
    scope: ['profile', 'email'],
    prompt: 'select_account'
}));

内容的提问来源于stack exchange，提问作者Stefano Galanti