跨域场景下React+Express无法存储Cookie问题求助

我之前做跨域项目时也踩过几乎一模一样的坑，咱们一步步来拆解排查：

• 先找对Cookie的存放位置！
  很多人会习惯性在当前客户端域名（ohmycounty.xyz）的Application面板里找connect.sid，但实际上服务端设置的Cookie是存在服务端域名（ohmycounty.me）下的。你需要在Chrome的Application面板里，点击Cookies选项卡，切换到https://ohmycounty.me这个域名再找connect.sid，大概率你之前找错地方了。

• 检查Network面板的请求/响应头
  打开Chrome的Network面板，定位到你的signin请求：

  1. 看Request Headers里有没有Origin: https://ohmycounty.xyz，确认withCredentials: true已经生效（会在请求头里体现为Cookie相关的标识）。
  2. 看Response Headers：
     • 必须存在Access-Control-Allow-Credentials: true和Access-Control-Allow-Origin: https://ohmycounty.xyz（不能是*，你当前的CORS配置已经满足这一点，没问题）。
     • 必须有Set-Cookie: connect.sid=xxx; Path=/; Secure; SameSite=None这类字段，如果没有，说明服务端根本没生成Session Cookie，得先排查服务端逻辑。

• 服务端Session配置的细节验证
  你的Session配置看起来没问题，但有几个点可以再确认：

  1. 确保saveUninitialized: true生效——哪怕你没设置session.userid，只要请求到达服务端，就会生成空Session并发送Cookie。你可以先注释掉数据库查询逻辑，直接返回成功，看看会不会发送Set-Cookie头。
  2. 如果服务端用了反向代理（比如Nginx），一定要配置代理传递X-Forwarded-Proto: https头，因为Express的secure: true需要确认请求是HTTPS的，否则不会发送Secure类型的Cookie。

• Chrome隐私设置的拦截问题
  Chrome默认可能会阻止第三方Cookie（你的客户端和服务端是不同顶级域名，属于第三方范畴）。你可以：

  1. 点击地址栏右侧的锁图标 → 选择「Cookie」选项，查看是否有被阻止的Cookie。
  2. 临时关闭Chrome的「阻止第三方Cookie」设置（设置→隐私和安全→Cookie和其他网站数据），测试能否正常存储Cookie。如果可以，那就是这个原因导致的，后续可以考虑调整域名策略（比如用同一顶级域名的不同二级域名），或者引导用户设置例外。

• 确认请求是否触发Session写入
  你的代码里只有当users.findOne返回结果时才会设置session.userid，如果登录失败（比如邮箱密码错误）返回401，这时候即使saveUninitialized: true，会不会生成Session？你可以在服务端post方法开头加一句console.log(req.sessionID)，不管登录成功失败，只要请求到达就会打印SessionID，说明Session已生成，理论上应该会发送Set-Cookie头。

内容的提问来源于stack exchange，提问作者Shawn