Express-Session刷新后无法保存会话问题求助

问题核心 #

控制台能正常打印TokenID但刷新页面后会话丢失，本质是会话未被正确持久化，或是请求在会话保存完成前就已终止。

修复步骤 #

1. 补全会话配置关键选项

当前express-session配置缺少saveUninitialized选项，显式配置可避免初始化异常；同时建议强化密钥安全性、自定义Cookie名称：

App.use(Session({
    name: 'app_session_id', // 自定义会话Cookie名称，避免默认值暴露框架信息
    cookie: { 
        maxAge: OneMonth,
        httpOnly: true, // 禁止前端JS访问Cookie，提升安全性
        secure: process.env.NODE_ENV === 'production' // 生产环境启用HTTPS时开启
    },
    store: new MemoryStore({
      checkPeriod: OneMonth
    }),
    resave: false,
    saveUninitialized: true, // 显式开启，确保未初始化的会话也能被存储
    secret: 'your_strong_random_secret' // 替换为复杂随机字符串，勿用默认的'secret'
}))

2. 等待会话保存完成后再响应请求

req.session.save()是异步操作，原代码未等待其完成就结束请求，可能导致会话未写入存储就中断。修改注册逻辑，在save()回调内发送响应：

MySQL(`INSERT INTO Accounts 
(Firstname, Lastname, Password, Token, Status, Balance, Username) 
VALUES 
('${Firstname}','${Lastname}','${Password}','${Token}','${Status}','${Balance}','${Username}')`, (Callback) => {
    Request.session.TokenID = Token
    console.log(Request.session.TokenID);
    // 等待会话保存完成后再返回响应
    Request.session.save((err) => {
        if (err) {
            console.error('会话保存失败:', err)
            return Response.status(500).send('服务器内部错误')
        }
        Response.status(200).send('注册成功')
    })
})

注意：原代码中验证失败时的状态码使用错误，比如用户名已存在应返回409，参数缺失返回400，需修正状态码与响应内容匹配。

3. 排查存储层问题

先临时移除MemoryStore，使用默认内存存储测试，确认是否为存储配置问题：

// 临时使用默认内存存储
App.use(Session({
    name: 'app_session_id',
    cookie: { maxAge: OneMonth },
    resave: false,
    saveUninitialized: true,
    secret: 'your_strong_random_secret'
}))

若默认存储能正常保存会话，再排查MemoryStore版本或checkPeriod配置，建议更新memorystore到最新版本。

4. 移除不必要的CookieParser

express-session已内置Cookie处理逻辑，无额外需求可删除CookieParser()中间件，避免潜在冲突：

// 移除该行代码
// App.use(CookieParser())

5. 紧急修复SQL注入风险

原代码直接拼接SQL字符串，存在严重注入漏洞，必须改用参数化查询：

// 示例：使用参数化查询（语法取决于你的MySQL客户端）
MySQL('INSERT INTO Accounts (Firstname, Lastname, Password, Token, Status, Balance, Username) VALUES (?, ?, ?, ?, ?, ?, ?)', 
[Firstname, Lastname, Password, Token, Status, Balance, Username], (Callback) => {
    // 会话保存逻辑
})

验证方法 #

修改后重启服务器，完成注册后：

1. 打开浏览器开发者工具Application标签，确认自定义名称的会话Cookie已存在且过期时间正确
2. 在后续请求中打印req.session，确认TokenID持续存在

内容的提问来源于stack exchange，提问作者Lukka8_8