为何使用express-session时req.session无法创建会话？

1. 路由响应不完整，导致Session未持久化 #

你的登录POST路由存在两个核心问题：

• 用户不存在或密码错误时，发送res.json()后未终止后续代码执行，会引发逻辑混乱
• 设置req.session.user后未发送响应——express-session需要通过响应头把Session ID cookie发送给客户端，不发送响应的话，Session不会被保存，客户端也收不到cookie

修改登录路由代码：

router.post('/login', async (req, res) => {
    try {
        const user = await Users.findOne({ where: { Email: req.body.Email } });
        if (!user) {
            return res.json({ error: "User doesn't exist" }); // 加return终止后续执行
        }
        
        const match = await bcrypt.compare(req.body.Password, user.Password); // 改用await避免嵌套回调
        if (!match) {
            return res.json({ error: "Wrong password" }); // 加return终止后续执行
        }
        
        req.session.user = user.dataValues;
        console.log(req.session);
        res.json({ loggedIn: true, user: user.dataValues }); // 必须发送响应，触发Session保存和Cookie设置
    } catch (err) {
        res.status(500).json({ error: err.message }); // 捕获异常，避免服务器崩溃
    }
})

2. Session配置的拼写错误与Cookie参数问题 #

• saveUninitialised是拼写错误，正确参数名是saveUninitialized
• cookie.expires的值要求是毫秒数，你写的60 * 60 * 24是秒数，需要乘以1000才是24小时；用maxAge更直观，单位为毫秒

修正Session配置：

app.use(session({
    key: "userId",
    secret: "foo",
    resave: false,
    saveUninitialized: false, // 修正拼写，建议设为false，避免保存未初始化的空Session
    cookie: {
        maxAge: 24 * 60 * 60 * 1000, // 24小时，单位毫秒
        httpOnly: true, // 建议开启，防止XSS攻击窃取Cookie
        sameSite: "lax" // 适配现代浏览器Cookie策略，避免跨域拦截
    },
}))

3. 跨域配置补充优化 #

已开启credentials: true的基础上，建议明确指定允许的请求头，确保跨域请求参数正常传递：

app.use(cors({
    origin: "http://localhost:3000", // 单个源可直接写字符串，无需数组
    methods: ["GET", "POST"],
    credentials: true,
    allowedHeaders: ["Content-Type"] // 按需添加必要请求头
}))

验证步骤 #

1. 重启Express服务器，确保所有配置变更生效
2. 登录时打开浏览器开发者工具的Application > Cookies，确认是否收到userId Cookie
3. 刷新页面调用GET路由，检查控制台输出的req.session是否包含user信息

内容的提问来源于stack exchange，提问作者Endurs