已设置withCredentials: true但Express中session变量仍缺失

我正在用React（3000端口）和Express（3001端口）搭建跨域Web应用，发送POST请求时需要基于req.session中的用户ID创建数据库记录，但配置CORS后req.session里的用户信息丢失，只剩默认的cookie对象，尝试过同类技术方案但无效，求助。

AJAX请求代码 #

$.ajax({
  type: 'POST',
  url: apiEndPoint + 'create',
  data: data,
  xhrFields: {withCredentials: true},
  success: results=>{
    //do something
  }
})

Express的app.js配置代码 #

var express = require('express');
var app = express();
var cors = require('cors')
var session = require('express-session');

...

var usersRouter = require('./routes/users');

var corsOptions = {
    origin: ['http://localhost:3000'],
    credentials: true
}
app.use(cors(corsOptions));

app.use(express.json());
app.use(express.urlencoded({ extended: false }));
app.use(express.static(path.join(__dirname, 'public')));

app.use(session({
    secret: 'randomstringhere', 
    resave: true,
    saveUninitialized: true
}));

app.options('*', cors(corsOptions));
app.use('/', notesRouter);

...

app.listen(3001);

当前req.session输出 #

Session {
  cookie: { path: '/', _expires: null, originalMaxAge: null, httpOnly: true }
}

问题排查与解决步骤 #

1. 修正Session配置的Cookie参数 #

跨域场景下，浏览器默认的SameSite=Lax规则会阻止POST请求携带Session Cookie，需要显式设置Cookie的SameSite属性为None，同时根据环境配置secure属性：

app.use(session({
    secret: 'randomstringhere', 
    resave: false, // 改为false，避免无意义的Session重复保存
    saveUninitialized: false, // 仅当Session有修改时才保存，符合隐私规范
    cookie: {
        httpOnly: true,
        sameSite: 'none', // 跨域必须设置为none
        secure: process.env.NODE_ENV === 'production', // 生产环境启用HTTPS时设为true，本地开发设为false
        maxAge: 24 * 60 * 60 * 1000 // 可选，设置Cookie有效期1天
    }
}));

2. 确认登录接口正确写入Session #

确保登录成功后，你已经将用户ID写入req.session，示例代码如下：

// 登录接口示例
router.post('/login', async (req, res) => {
    // 用户验证逻辑
    const user = await User.findOne({ where: { username: req.body.username } });
    if (user && /* 密码验证通过 */) {
        req.session.userId = user.id; // 关键：将用户ID存入Session
        res.json({ success: true, message: '登录成功' });
    } else {
        res.status(401).json({ success: false, message: '账号或密码错误' });
    }
});

3. 验证中间件顺序 #

确保中间件加载顺序符合要求（你的当前代码已符合，可再次确认）：

• 先加载CORS中间件
• 再加载请求体解析中间件（express.json()、express.urlencoded()）
• 然后加载Session中间件
• 最后加载路由

4. 本地开发的特殊处理 #

如果使用Chrome浏览器，本地HTTP环境下secure: false + sameSite: 'none'可能仍会被拦截，可临时通过以下方式解决：

• 在Chrome地址栏输入chrome://flags/#same-site-by-default-cookies
• 将SameSite by default cookies和Cookies without SameSite must be secure设置为Disabled
• 重启浏览器（仅用于本地开发，生产环境必须启用HTTPS）

内容的提问来源于stack exchange，提问作者Antonymous