Netlify+Heroku环境下Google Passport登录Cookie刷新丢失问题排查

核心问题分析 #

从你给出的后端代码来看，Cookie刷新后丢失主要有以下几个原因：

1. CORS头重复设置导致冲突 #

你同时使用了cors官方中间件和自定义的res.header中间件，而且cors配置里开了preflightContinue: true，这会让OPTIONS预请求的处理逻辑混乱。浏览器收到重复或不一致的CORS头时，会拒绝保存跨域Cookie。

2. Session Cookie缺少关键属性 #

Heroku和Netlify都是HTTPS环境，但你的Session Cookie没设置secure: true，浏览器不会在HTTPS连接下保存这个Cookie；另外跨域场景下，Cookie的SameSite属性默认是Lax，跨域请求时浏览器会阻止Cookie发送，页面刷新后自然找不到。

3. 自定义CORS中间件的Origin设置存在风险 #

req.headers.origin在某些请求（比如OPTIONS预请求）中可能为空，导致Access-Control-Allow-Origin被设为undefined，直接触发浏览器的跨域拦截。

修复步骤及代码调整 #

第一步：移除重复的CORS中间件 #

删掉那段自定义的res.header中间件，只保留官方cors中间件，并调整配置：

app.use(
  cors({
    origin: "https://myexample.app", // 固定前端域名，更安全
    credentials: true,
    methods: "GET,POST,PUT,DELETE",
    optionsSuccessStatus: 200,
    allowedHeaders: [
      "Origin",
      "X-Requested-With",
      "Content-Type",
      "Accept",
      "Authorization",
    ],
    preflightContinue: false, // 让cors中间件处理完OPTIONS请求，不要传递给后续中间件
  })
);

第二步：修正Session Cookie的配置 #

添加secure: true和sameSite: "none"属性，同时建议把httpOnly改回true（避免XSS风险，前端通过API获取用户状态即可）：

app.use(
  session({
    secret: config.sessionSecret,
    cookie: {
      maxAge: 1000 * 60 * 60 * 24 * 7,
      httpOnly: true, // 恢复默认的true，提升安全性
      secure: true, // HTTPS环境下必须开启，否则浏览器不保存Cookie
      sameSite: "none", // 跨域场景下必须设为none，配合secure使用
    },
    resave: false, // resave设为false更符合最佳实践，避免不必要的session存储更新
    saveUninitialized: false,
    store: MongoDBStore({
      uri: "url",
      collection: "sessions",
    }),
  })
);

额外注意点 #

• 确保前端请求时带上credentials: 'include'（比如Axios里设置withCredentials: true），否则浏览器不会发送Cookie。
• 确认前端代理指向的后端API地址是正确的Heroku域名。

内容的提问来源于stack exchange，提问作者Atalay Özyıldırım