Express-Session结合Redis在Heroku上无法正常工作的问题

针对你在Heroku上部署express-session+Redis会话管理失效的问题，结合日志中cookie.maxAge为null、无业务数据的现象，以下是具体排查和解决步骤：

1. 修复Redis TLS连接配置（核心问题） #

Heroku提供的Redis服务默认使用TLS加密连接，而ioredis默认不会自动启用TLS，导致生产环境下Redis连接失败，会话无法持久化，每次请求都会生成新会话。

修改Redis客户端初始化代码：

const redis = process.env.NODE_ENV !== 'production'
    ? new Redis({ host: 'localhost', port: 6379 })
    : new Redis(process.env.REDIS_URL, {
        tls: {
            rejectUnauthorized: false
        }
    });

2. 优化Cookie的Secure与SameSite配置 #

虽然你已设置trust proxy: 1，但原有的secure判断逻辑可以更可靠，同时添加SameSite配置避免跨域Cookie问题：

server.use(session({
    store: new RedisStore({ client: redis }),
    secret: process.env.SESSION_SECRET_KEY || 'your-fallback-secret', // 生产环境必须设置环境变量，禁止留空
    resave: false,
    saveUninitialized: false, // 关闭未修改会话的存储，减少无效会话
    cookie: {
        secure: process.env.NODE_ENV === 'production' ? 'auto' : false, // auto会自动根据请求协议判断
        maxAge: 1000 * 60 * 10,
        sameSite: 'lax',
        httpOnly: true
    }
}));

如果需要更精准的协议判断，可以将session配置改为动态函数形式：

server.use(session((req) => ({
    store: new RedisStore({ client: redis }),
    secret: process.env.SESSION_SECRET_KEY || 'your-fallback-secret',
    resave: false,
    saveUninitialized: false,
    cookie: {
        secure: req.secure, // 利用trust proxy后的req.secure判断实际协议
        maxAge: 1000 * 60 * 10,
        sameSite: 'lax',
        httpOnly: true
    }
})));

3. 确认SESSION_SECRET_KEY环境变量已配置 #

生产环境下SESSION_SECRET_KEY不能为空，否则会话签名失效，无法解析已存储的会话。在Heroku应用的「设置」-「配置变量」中添加该变量，值建议用openssl rand -hex 32生成的随机长字符串。

4. 添加Redis连接状态监控 #

在代码中加入Redis连接的日志监听，确认连接是否成功：

redis.on('error', (err) => {
    console.error('Redis连接异常:', err);
});

redis.on('connect', () => {
    console.log('Redis连接成功');
});

通过heroku logs --tail命令查看实时日志，若出现Redis连接错误，根据错误信息调整配置。

验证方法 #

1. 部署修改后的代码到Heroku
2. 查看Heroku日志确认Redis连接正常
3. 测试会话功能，检查req.session是否包含正常的maxAge和业务数据

内容的提问来源于stack exchange，提问作者xTchan