使用cookie-session时req.session返回空对象的问题排查

我在学习Express.js时遇到一个cookie-session的问题——想通过它在浏览器保存会话，避免重复登录。登录表单的POST请求发到/login端点，验证通过后设置req.session.admin = 1，然后重定向到/admin。但在/admin端点读取req.session.admin时返回undefined，req.session本身是空对象{}。不过在/login端点用console.log验证时，req.session.admin的值确实是1，完全正常。想咨询：cookie-session的实现近期是否有变更（我是按照npm文档操作的），或者是否需要安装额外的依赖包？

保存会话的代码 #

.post('/login', (req, res) => {
  const { body } = req;
  if (password === body.password && login === body.login) {
    req.session.admin = 1;
    res.redirect('/admin');
  } else {
    res.redirect('/login');
  }
});

会话验证拦截代码 #

.all('*', (req, res, next) => {
  if (!req.session.admin) {
    res.redirect('/login');
    return;
  }
  next();
})

排查解决方案 #

• 检查cookie-session中间件配置：必须设置keys选项（用于加密会话cookie），这是会话持久化的核心，缺失的话会话无法在请求间保留。示例配置：

  const cookieSession = require('cookie-session');
  const express = require('express');
  const app = express();
  
  // 必须在路由之前挂载cookie-session中间件
  app.use(cookieSession({
    name: 'admin-session',
    keys: ['your-strong-secret-key'], // 替换为实际密钥，建议用环境变量存储
    maxAge: 24 * 60 * 60 * 1000 // 会话有效期，可选
  }));
  

• 确认中间件挂载顺序：cookie-session中间件必须挂载在所有路由（包括/login和/admin）之前，否则请求到达路由时session对象还未初始化。
• 检查浏览器cookie状态：打开浏览器开发者工具的「Application」标签，查看对应域名下是否存在会话cookie。如果没有，排查是否是跨域场景（前后端域名不一致）导致浏览器拒绝保存，或者cookie的SameSite、HttpOnly等配置是否合理。
• 版本与文档匹配：近期cookie-session的核心实现没有重大变更，npm文档的基础用法仍然有效。可以通过npm list cookie-session查看当前版本，对比官方文档确认配置是否一致。
• 依赖包确认：不需要额外依赖，只需确保已正确安装cookie-session：npm install cookie-session

内容的提问来源于stack exchange，提问作者MatiR