使用Axios测试时Express Session每次请求刷新的问题求助

核心问题分析 #

你遇到的每次请求Session ID不同的问题，主要由以下几点导致：

1. Axios未正确配置凭证携带：虽然你提到尝试过withCredentials: true，但当前给出的Axios实例配置里没有该参数，导致请求未携带Cookie。
2. Cookie的secure配置冲突：服务端设置了secure: true，但你用http://localhost（HTTP协议）测试，浏览器会拒绝保存这类仅允许HTTPS传输的Cookie，自然无法维持Session。
3. 跨域场景下CORS未配置凭证允许：如果前端和服务端端口不同（比如前端8080、服务端3005），跨域请求需要明确允许携带凭证，否则浏览器会拦截Cookie。

具体解决方案 #

1. 修正Axios实例配置 #

在创建Axios实例时添加withCredentials: true，确保所有请求自动携带Cookie：

let Service = axios.create({ 
    baseURL: 'http://localhost:3005/',  
    withCredentials: true // 全局开启凭证携带
});

2. 调整Session的Cookie配置 #

开发环境下关闭secure，并适配sameSite规则（sameSite: none必须配合secure: true，仅生产环境使用）：

app.use(session({
    name: "session-id",
    secret: "hideSession",
    saveUninitialized: true,
    resave: false,
    httpOnly: true,
    cookie: {
        maxAge: 60*10000*200*10,
        // 开发环境用lax，生产环境切换为none
        sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
        // 仅生产环境开启secure（HTTPS）
        secure: process.env.NODE_ENV === 'production',
    },
}));

3. 配置CORS允许跨域凭证（跨域场景必做） #

如果前端和服务端属于跨域环境，安装并配置cors中间件：
首先安装依赖：

npm install cors

然后在Express中配置：

const cors = require('cors');

// 替换为你的前端实际域名/端口
app.use(cors({
    origin: 'http://localhost:8080', 
    credentials: true // 允许携带凭证
}));

⚠️ 注意：origin不能设为*，必须指定具体前端域名，否则credentials: true无法生效。

4. 验证配置是否生效 #

打开浏览器开发者工具的「Network」面板，查看请求的Request Headers，确认是否包含Cookie: session-id=xxx字段。如果存在，说明Cookie已被正确携带，Session会保持一致。

内容的提问来源于stack exchange，提问作者Jan Tuđan