Express修改cookie-session后req.session未填充问题求助

• cookie-session的签名验证机制
  cookie-session会基于你配置的secret对session内容生成签名，用来防止客户端篡改数据。你手动解码session的base64值、替换JWT后重新编码，但没有用相同的secret重新生成签名。服务器收到这个新cookie时，会验证签名是否匹配，不匹配就会直接丢弃篡改后的session数据，自动生成一个全新的空session，也就是你看到的req.session = {}、isNew = true的状态。而原cookie是服务器自己生成并签名的，验证通过，所以能正常解析出JWT。

• session序列化/反序列化的内部规则
  cookie-session并非只是简单的base64编码存储，它有自己的序列化逻辑（比如处理数据类型、结构格式）。你直接手动修改base64内容再编码，可能破坏了session数据的预期结构（比如键名错误、嵌套格式不对），导致服务器反序列化时无法识别有效数据，只能初始化空session。

• cookie完整性校验不通过
  部分cookie-session的实现会额外校验session数据的完整性标识（比如哈希值），你修改JWT后没有同步更新这些标识，服务器判定数据已被篡改，放弃解析原有session，创建新的空session对象。

内容的提问来源于stack exchange，提问作者Dimitar Georgiev