请求/响应头显示非HttpOnly Cookie存在，但无法通过document.cookie访问

可能的原因及修复方案： #

1. maxAge参数单位错误
   Express的res.cookie中maxAge的单位是毫秒，你代码里写的10 * 365 * 24 * 60 * 60是秒数，计算后仅约3.65天的有效期，甚至可能因浏览器时间差导致Cookie直接失效。修正为毫秒单位：

maxAge: 10 * 365 * 24 * 60 * 60 * 1000,

2. Secure属性的环境限制
   你设置了secure: true，意味着Cookie只能通过HTTPS传输。如果本地开发用HTTP访问页面，浏览器会拒绝将这类Cookie暴露给document.cookie。可根据环境动态配置：

secure: process.env.NODE_ENV === 'production',

3. SameSite配置的兼容性
   当sameSite: "none"时必须搭配secure: true，但部分旧浏览器（Chrome 80之前）不支持SameSite=None，可能导致Cookie无法正常存储。开发环境可改用"lax"：

sameSite: process.env.NODE_ENV === 'production' ? "none" : "lax",

4. Cookie路径不匹配
   默认情况下，Express设置的Cookie路径是当前请求的接口路径（比如/api/xxx），如果前端页面在根路径/下，会读不到路径不匹配的Cookie。显式设置根路径：

path: "/",

5. 跨子域名的Domain配置
   如果前端和后端是同域名下的不同子域名（比如前端app.yourdomain.com、后端api.yourdomain.com），需添加Domain配置让Cookie共享：

domain: ".yourdomain.com", // 注意前缀的点，适配所有子域名

修正后的完整代码示例： #

res.cookie(DOES_SESSION_EXIST_COOKIE_KEY, true, {
  secure: process.env.NODE_ENV === 'production',
  sameSite: process.env.NODE_ENV === 'production' ? "none" : "lax",
  httpOnly: false,
  maxAge: 10 * 365 * 24 * 60 * 60 * 1000,
  path: "/",
  // domain: ".yourdomain.com", // 按需开启
})

内容的提问来源于stack exchange，提问作者goldylucks