Express Session为何有时生成Cookie有时不生成？

从你贴的代码来看，这种无规律的Cookie生成问题，大概率是几个配置细节没踩对，结合我踩过的坑给你分析下：

1. secure: true 只在HTTPS环境生效，本地HTTP直接失效 #

你把secure设为true了，这意味着浏览器只会在HTTPS请求下接受这个Cookie。如果你的开发环境是HTTP（比如本地用http://localhost），那浏览器直接会忽略这个Cookie，根本不会存在；但如果是线上HTTPS环境就正常。这就会出现“有时候有有时候没有”——比如你本地测的时候没有，线上测的时候有，或者切换环境就变。

解决办法：用环境变量区分开发和生产环境，开发时把secure设为false，同时sameSite可以改成lax（因为sameSite: none必须和secure: true搭配，开发环境HTTP下用none会被浏览器拒绝）：

cookie: {
  maxAge: 1000 * 60 * 60 * 24,
  httpOnly: true,
  secure: process.env.NODE_ENV === 'production', // 生产才开HTTPS安全Cookie
  sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
},

2. saveUninitialized: false 导致空Session不发Cookie #

这个配置的意思是：只有当Session被主动修改过，才会生成并发送Cookie。如果你的登录请求有时候没正确设置req.session.user（比如用户输入的username为空，或者请求体解析有问题），那Session还是空的，Express就不会发Cookie。

你可以先临时把saveUninitialized改成true测试一下：如果改成true后Cookie每次都能生成，那就是这个原因。之后再排查为什么有时候req.session.user没被正确设置——比如检查请求体是否被正确解析（有没有用express.json()中间件？），或者前端有没有正确传username参数。

3. CORS配置不对，浏览器阻止Cookie跨域存储 #

虽然你前端开了axios.defaults.withCredentials = true，但后端的CORS配置必须满足两个条件：

• origin不能设为*，必须是前端的具体域名（比如你的import.meta.env.VITE_HOSTNAME）
• 必须开启credentials: true

如果后端CORS没配对，跨域请求时浏览器会阻止Cookie的存储，看起来就是Cookie没生成。比如后端CORS应该这么配：

const cors = require('cors');
app.use(cors({
  origin: process.env.FRONTEND_HOST, // 对应你的VITE_HOSTNAME
  credentials: true,
}));

4. Redis存储不稳定，Session存不进去导致Cookie不发 #

你用了Redis存储Session，如果Redis客户端RL有时候连接失败，或者Session保存失败，Express可能不会发送Cookie。可以给Redis客户端加个错误监听，看看是不是有连接问题：

RL.on('error', (err) => {
  console.error('Redis连接异常:', err);
});
RL.on('connect', () => {
  console.log('Redis连接成功');
});

如果Redis时不时断开，那Session存不进去，自然不会生成Cookie。

5. 浏览器隐私设置拦截了sameSite: none的Cookie #

有些浏览器（比如Safari）的默认隐私设置会阻止sameSite: none的跨站Cookie，或者开启了“阻止跨站跟踪”功能，这时候即使配置正确，Cookie也不会被存储。你可以换几个浏览器测试下：如果Chrome里正常，Safari里没Cookie，那就是这个原因。这种情况可以考虑调整sameSite为lax（如果你的前后端是同域名或子域名的话），或者提示用户关闭相关隐私设置。

最后补充下你代码里的小细节：req.session.save()的回调里判断req.session.user其实意义不大，因为你刚设置完req.session.user = req.body.username，除非save过程中出错了。可以在回调里加个错误参数，看看有没有保存失败：

req.session.save((err) => {
  if (err) {
    console.error('Session保存失败:', err);
    return res.status(500).json({ foo: false });
  }
  res.status(200).json({ foo: true });
});

内容的提问来源于stack exchange，提问作者Hypothesis