Node Express SameSite不被浏览器识别，如何解决Cookie警告？

首先，你的问题主要出在两个关键细节上：配置项的键名错误和SameSite的取值不符合规范，下面一步步帮你修正：

1. 修正配置项的键名 #

Express的express-session中，Cookie的SameSite属性对应的配置键是**sameSite（驼峰命名，S大写）**，而你写的是全小写的samesite——这会导致Express完全识别不到这个配置，相当于根本没设置SameSite属性，浏览器自然会抛出警告。

2. 使用合法的SameSite取值 #

SameSite的合法取值只有三个，你之前用的'secure'是无效值，这也是触发警告的核心原因之一：

• 'Strict'：严格模式，Cookie仅在同域请求中发送，适合不需要跨域的场景。
• 'Lax'：宽松模式，大部分情况不发送跨域Cookie，但导航到目标网址的Get请求除外（浏览器默认值）。
• 'None'：允许跨域发送Cookie，但必须同时设置secure: true，且仅在HTTPS环境下生效。

3. 根据你的场景选择正确配置 #

场景1：本地开发环境（HTTP），无需跨域会话 #

如果是本地用HTTP协议开发，不需要跨域共享会话，推荐用'Strict'或'Lax'，同时根据环境动态设置secure：

{ 
  store: sessionStore, 
  resave: false, 
  saveUninitialized: true, 
  rolling: false, 
  secret: 'mysecret', 
  cookie:{ 
    maxAge: 60000 * $.idlemin, 
    sameSite: 'Strict', // 或者 'Lax'
    secure: process.env.NODE_ENV === 'production' // 生产环境强制开启secure
  } 
}

场景2：生产环境（HTTPS），需要跨域会话 #

如果服务部署在HTTPS环境下，且需要跨域共享会话（比如前后端分离架构），必须搭配sameSite: 'None'和secure: true：

{ 
  store: sessionStore, 
  resave: false, 
  saveUninitialized: true, 
  rolling: false, 
  secret: 'mysecret', 
  cookie:{ 
    maxAge: 60000 * $.idlemin, 
    sameSite: 'None', 
    secure: true,
    httpOnly: true // 建议加上，进一步提升Cookie安全性
  } 
}

额外小提醒 #

• 如果你本地开发时用HTTPS（比如用mkcert生成自签名证书），也可以直接用sameSite: 'None' + secure: true的组合。
• 确保你的express-session是较新版本，旧版本对sameSite: 'None'的支持可能有问题，建议升级到最新稳定版。

内容的提问来源于stack exchange，提问作者crankshaft