Express中创建签名Cookie后无法解密/验签的问题及解决

我在Express服务端使用res.cookie创建带签名的Cookie时，遇到了验签失败的问题：明明初始化cookie-parser和验签用的是同一个密钥，但signature.unsign却返回false。以下是我的代码实现：

服务器初始化代码（server/index.ts） #

import express from 'express'
import Router from 'express-promise-router'
import cookieParser from 'cookie-parser'
import UserRoutes from './routes/UserRoutes'

const app = express()
app.use(cookieParser('secret')) // 统一设置Cookie密钥
app.use(cors({
    origin: true,
    credentials: true
}))

const router = Router()
router.use(UserRoutes)
app.use(router)

用户路由代码（UserRoutes） #

import Router from 'express-promise-router'
import * as UserController from '../controllers/UserController'

const router = Router()

router.route('/user/login').post(UserController.loginUser)

登录处理代码（UserController） #

import Express from 'express'
import cookieParser from 'cookie-parser'
import signature from 'cookie-signature'
import { v4 as uuid } from 'uuid'

export const loginUser = async (req: Express.Request, res: Express.Response) => {
    // 用户名密码校验逻辑省略
    const newToken = uuid()
    console.log(newToken) // 示例输出：a2af2c05-2135-4e9c-9fc0-cc10fb8e5dfb
    
    // 创建带签名的User Cookie
    res.cookie('User', newToken, { httpOnly: true, signed: true })

    console.log(req.signedCookies.User) // 示例输出：e57583d0-09a4-4a49-98d5-50e966782b8f
    console.log(cookieParser.signedCookie(req.signedCookie.User, 'secret')) // 输出和上面一致
    console.log(signature.unsign(req.signedCookies.User, 'secret')) // 输出false
}

问题原因 #

核心问题是在设置Cookie的同一请求处理函数中，req.signedCookies.User并不是刚生成的新Cookie：

• cookie-parser中间件的作用是解析当前请求头里携带的Cookie，并将验证后的签名Cookie存入req.signedCookies。
• res.cookie只是在响应头中添加Set-Cookie指令，告知客户端保存新Cookie，但不会修改当前请求对象里的req.signedCookies。此时req.signedCookies.User要么是之前请求残留的旧Cookie值，要么是空值，和刚生成的newToken完全不对应，自然验签失败。

解决方案 #

不要在设置Cookie的同一个请求处理逻辑里尝试验签新Cookie，而是通过后续请求让客户端把Cookie带回服务端，此时cookie-parser会自动完成解析和验签。我通过创建一个authenticate中间件，在需要验证Cookie的路由前挂载，问题就解决了：

示例中间件代码：

export const authenticate = (req: Express.Request, res: Express.Response, next: Express.NextFunction) => {
    const userToken = req.signedCookies.User
    if (!userToken) {
        return res.status(401).send('未授权')
    }
    // 这里的userToken已经是经过cookie-parser验签后的有效Token
    console.log('验签通过的Token:', userToken)
    next()
}

然后在需要验证的路由上挂载：

// UserRoutes中
router.route('/user/profile').get(authenticate, UserController.getUserProfile)

这样当客户端带着新Cookie请求/user/profile时，authenticate中间件就能拿到正确的、验签后的Token了。

内容的提问来源于stack exchange，提问作者bruhmonkey