Express-session Cookie已存入存储但后续API调用无法访问

问题概述 #

使用SERN栈开发登录/注册系统，通过express-session结合MySQL存储会话。登录后Cookie已保存到浏览器，会话也已写入数据库，但后续API请求（如/checkSession）无法读取已登录的会话，每次请求都会生成新的Session ID，导致req.session.user始终为undefined。

服务器运行在5000端口，React客户端在3000端口，已设置axios.defaults.withCredentials=true，CORS配置也开启了credentials:true。

核心修复方案 #

1. 修正CORS的请求方法配置 #

你的CORS配置中methods字段格式错误，数组内的字符串不能用逗号拼接，导致实际允许的请求方法不生效，影响Cookie跨域传递：

// 错误写法
methods: ["GET,POST"]
// 正确写法
methods: ["GET", "POST"]

2. 补充Session Cookie的sameSite属性 #

跨域场景下必须明确设置Cookie的sameSite属性，否则浏览器会限制Cookie的发送。开发环境建议设为"lax"，生产环境配合secure:true（HTTPS环境）使用：

app.use(session({
    name: process.env.SESSION_NAME,
    resave: false,
    saveUninitialized: false,
    store: store,
    secret: process.env.SESSION_SECRET,
    cookie: {
        secure: false, // 开发环境设为false，生产环境需改为true
        maxAge: 14*24*60*60*1000, // 替换expires，用毫秒数更直观
        sameSite: "lax", // 关键：允许跨域请求携带Cookie
        httpOnly: true // 开启后防止XSS窃取Cookie，提升安全性
    }
}))

3. 验证Session ID一致性 #

在登录路由和/checkSession路由中分别打印req.sessionID，确认两次请求的Session ID是否一致：

// 登录路由内添加
console.log("Login Session ID:", req.sessionID);

// /checkSession路由内修改
app.get('/checkSession',async (req,res)=>{
    console.log("Check Session ID:", req.sessionID);
    console.log("Session User:", req.session.user);
    res.json({ 
        status: req.session.user ? "authenticated" : "unauthenticated",
        user: req.session.user || null
    });
})

如果Session ID不一致，检查浏览器Network面板中/checkSession请求的Request Headers，确认是否携带了包含Session名称的Cookie字段。

4. 确认中间件加载顺序 #

确保中间件加载顺序正确：cors → body-parser → cookie-parser → express-session → 路由，你的当前顺序符合要求，无需调整。

额外检查项 #

• 确认.env文件中SESSION_NAME和SESSION_SECRET已正确加载，无拼写错误。
• 检查MySQL的Sessions表，确认登录后生成的会话记录expires时间正确。
• 开发环境下统一使用localhost或127.0.0.1发起请求，避免域名不一致导致的Cookie拦截。

内容的提问来源于stack exchange，提问作者CardinalCyn