生产环境下Express设置的Cookie在响应面板可见但浏览器不生效

针对你遇到的问题，结合代码中的细节，整理出以下关键修复点：

1. 修复CORS配置的冲突与预检请求处理 #

代码中重复设置了Access-Control-Allow-Headers，且未正确终止OPTIONS预检请求，这会导致浏览器拒绝存储Cookie。

修复后代码：

app.use((req, res, next) => {
  res.setHeader("Access-Control-Allow-Origin", "https://example.com"); // 确保是完整HTTPS域名
  res.setHeader("Access-Control-Allow-Methods", "POST,GET,OPTIONS");
  res.setHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
  res.setHeader("Access-Control-Allow-Credentials", true);

  if (req.method === "OPTIONS") {
    return res.sendStatus(200); // 必须返回200终止预检请求
  }
  next();
});

2. 修复express-session的语法错误与配置顺序 #

代码中expressSession配置存在多余的cookies,语法错误，且trust proxy设置位置不正确，会导致Cookie配置失效。

修复后代码：

// 移到session配置之前，确保代理环境下secure Cookie生效
app.set("trust proxy", 1);

app.use(
  expressSession({
    secret: process.env.COOKIESECRET || "aabbcc", // 优先用环境变量，提升安全性
    resave: false,
    saveUninitialized: false, // 避免创建空session
    cookie: { 
      secure: process.env.NODE_ENV === "production", // 仅生产环境启用secure
      sameSite: "none", 
      domain: ".example.com", // 加前缀点，匹配所有子域名
      maxAge: 60 * 60 * 1000 // 用maxAge替代expires更直观
    }, 
  })
);

3. 调整Cookie设置的关键参数 #

确保Cookie的domain、secure、sameSite参数与生产环境匹配：

修复后代码：

const expiryDate = new Date(Date.now() + 60 * 60 * 1000);
res.cookie(authCookieName, token, {
  expires: expiryDate,
  httpOnly: true,
  secure: process.env.NODE_ENV === "production", // 动态适配环境
  domain: ".example.com", // 匹配主域名及子域名
  sameSite: "none" // 跨域场景需配合secure: true使用
});

res.cookie(secondCookieName, secondToken, {
  expires: expiryDate,
  httpOnly: true,
  secure: process.env.NODE_ENV === "production",
  domain: ".example.com",
  sameSite: "none"
});

res.status(200).send(user);

额外注意事项 #

• 生产环境必须使用HTTPS：secure: true仅在HTTPS环境下生效，HTTP环境中浏览器会直接忽略该Cookie。
• 前端请求需携带凭证：比如Axios请求要设置withCredentials: true，否则浏览器不会存储或携带Cookie。
• 检查浏览器隐私设置：若开启第三方Cookie拦截，sameSite: "none"与secure: true必须同时设置，否则Cookie会被拦截。
• 域名严格匹配：确保前端域名与Cookie的domain参数一致，比如前端是app.example.com，domain设为.example.com才有效。

内容的提问来源于stack exchange，提问作者jorkata