MERN生产环境客户端无法获取express-session Cookie问题

以下是结合Vercel平台特性和跨域会话认证的关键修复点：

1. 替换内存会话存储（核心问题） #

Vercel的Serverless Functions是短生命周期的，express-session默认的MemoryStore完全不适用——每个请求可能分配到不同的实例，会话数据无法共享。必须改用外部持久化存储，推荐用MongoDB（connect-mongo）或者Redis（Upstash，Vercel集成便捷）。

示例connect-mongo配置：

const session = require('express-session');
const MongoStore = require('connect-mongo');

app.use(session({
  secret: process.env.SESSION_SECRET,
  resave: false,
  saveUninitialized: false,
  // 配置外部存储
  store: MongoStore.create({
    mongoUrl: process.env.MONGODB_URI,
    ttl: 14 * 24 * 60 * 60 // 会话有效期14天
  }),
  cookie: {
    secure: process.env.NODE_ENV === 'production', // 生产环境强制HTTPS
    httpOnly: true,
    sameSite: 'none', // 跨域场景必须设为none
    maxAge: 14 * 24 * 60 * 60 * 1000
  }
}));

2. 严格配置CORS规则 #

跨域场景下，CORS不能用通配符*作为origin，必须指定客户端的Vercel域名，同时明确允许凭证传递：

const cors = require('cors');

app.use(cors({
  origin: process.env.CLIENT_URL, // 例如https://your-client-app.vercel.app
  credentials: true,
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
  allowedHeaders: ['Content-Type']
}));

本地开发时可将CLIENT_URL设为http://localhost:3000，生产环境替换为实际客户端域名。

3. 修正Cookie的SameSite属性 #

因为客户端和服务端分属不同Vercel域名，属于跨域场景，必须将Cookie的sameSite设为'none'，同时secure设为true（Vercel默认提供HTTPS，满足要求）——这是很多人忽略的关键配置。

4. 确保Vercel环境变量正确配置 #

将SESSION_SECRET、MONGODB_URI、CLIENT_URL这些敏感配置全部通过Vercel项目的「环境变量」面板设置，不要硬编码在代码中，避免生产环境配置错误。

5. 验证客户端Axios配置 #

确认全局Axios已开启withCredentials，确保请求携带Cookie：

import axios from 'axios';

axios.defaults.withCredentials = true;
axios.defaults.baseURL = process.env.REACT_APP_API_URL; // 服务端Vercel域名

登录请求无需额外配置，只要全局开启即可自动携带凭证。

6. 适配Vercel Serverless Functions导出方式 #

如果服务端用Serverless Functions部署，需确保express应用正确导出，推荐用serverless-http包装：

const serverless = require('serverless-http');
const express = require('express');
const app = express();

// 加载session、CORS、路由等中间件

module.exports.handler = serverless(app);

内容的提问来源于stack exchange，提问作者Howard Ding