Express-session未向localhost发送Secure Cookie的问题解决

通过res.cookie(..., {secure: true})设置的普通Cookie可在localhost正常生效，但express-session无法向localhost发送Secure Cookie。复现代码如下：

const express = require('express');
const session = require('express-session');
const app = express();
app.use(session({
    secret: 'qwerqwerqwer',
    resave: true,
    saveUninitialized: true,
    cookie: {
        secure: true,
    },
}));
app.get('/hello', (req, res) => {
    res.cookie('test', 'asdf', {secure: true});
    res.send('');
});
const PORT = 7000;
app.listen(PORT, () => {
    console.log(`backend listening on port ${PORT}`);
});

访问/hello时，响应头存在test: asdf的Set-Cookie字段，但无connect.sid的Set-Cookie，日志确认express-session未发送该Cookie。经Firefox等浏览器测试，localhost确实支持Secure Cookie，问题出在express-session的逻辑上。

express-session的secure: true选项会严格校验请求安全性：只有当req.secure为true（即请求通过HTTPS发起）时，才会发送Secure Cookie。而HTTP方式访问localhost时，req.secure为false，因此express-session会跳过connect.sid Cookie的发送。

而res.cookie没有额外校验逻辑，直接输出Set-Cookie头，浏览器遵循MDN规范接收localhost的Secure Cookie，所以普通Cookie能正常生效。

方案1：开发环境动态适配secure规则 #

修改express-session配置，让cookie.secure根据环境和请求来源动态判断，允许localhost下发送Secure Cookie：

// 先配置信任代理，确保req.hostname和req.secure识别准确
app.set('trust proxy', 1);

app.use(session({
    secret: 'qwerqwerqwer',
    resave: false, // 建议设为false，符合最佳实践
    saveUninitialized: false, // 建议设为false，符合最佳实践
    cookie: {
        secure: (req) => {
            // 生产环境强制HTTPS，开发环境允许localhost或HTTPS请求
            if (process.env.NODE_ENV === 'production') {
                return req.secure;
            }
            return req.hostname === 'localhost' || req.secure;
        },
    },
}));

方案2：开发环境启用HTTPS #

用mkcert等工具生成自签名证书，让express以HTTPS方式启动，此时req.secure为true，express-session会正常发送Secure Cookie：

const https = require('https');
const fs = require('fs');

// 替换为你的证书文件路径
const options = {
    key: fs.readFileSync('./localhost-key.pem'),
    cert: fs.readFileSync('./localhost.pem'),
};

https.createServer(options, app).listen(PORT, () => {
    console.log(`backend listening on HTTPS port ${PORT}`);
});

内容的提问来源于stack exchange，提问作者Joe C.