express-session显式配置参数后仍提示undefined弃用警告如何解决

三个弃用警告同时触发，核心原因是express-session初始化时，实际接收到的配置参数为空，你代码中写的三个配置项在运行时均为undefined，和代码里书写的字面量配置无关，常见触发场景：

• 函数调用括号位置错误：实际运行代码中误将app.use(session({配置}))写为app.use(session)({配置})，调用session()时没有传入任何参数，初始化读取配置时三个字段自然全为undefined，这是最高发的场景
• 二次封装session时未透传配置：如果对express-session做了自定义封装，调用原生session初始化方法时，没有将外部传入的配置对象传递进去，原生session拿不到配置就会触发全量警告
• ES Module导入错误：在ESM规范下引入express-session时，没有正确拿到默认导出的中间件构造函数，实际调用的不是原生session初始化方法，参数传递完全失效
• 若仅触发secret相关的undefined警告，一般是dotenv加载时机错误：没有在项目入口最顶部调用require('dotenv').config()，或者调用位置在session配置之后，导致process.env.SESSION_SECRET读取值为undefined

按场景逐一排查修复即可：

• 优先检查括号嵌套：确保配置对象是作为session()的入参传入，session(配置)的执行结果整体作为app.use()的入参，正确写法如下：

app.use(
  session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: true,
  })
);

可以先临时把secret写死为固定字符串测试，如果三个警告全部消失，说明之前是括号写错或者dotenv加载问题：

app.use(
  session({
    secret: 'temp_test_secret', // 写死值测试
    resave: false,
    saveUninitialized: true,
  })
);

• 若对session做了二次封装，必须将配置对象完整透传给原生express-session方法，示例：

const originSession = require('express-session');
// 自定义封装
const customSession = (userOptions) => {
  // 不要漏传userOptions给原生session
  return originSession(userOptions);
}
app.use(customSession({/* 你的配置 */}));

• 修正dotenv加载时机：必须在项目入口文件的最顶部加载dotenv配置，保证后续读取环境变量时能拿到.env中定义的值：

// 入口文件最顶部写
require('dotenv').config();
const express = require('express');
const session = require('express-session');
const app = express();
// 后续再编写session配置、路由挂载等逻辑

• ESM场景修正导入写法，确保拿到正确的构造函数：

// 通用ESM导入写法
import session from 'express-session';
// 如果上述写法导入的不是函数，使用指定路径导入
// import session from 'express-session/index.js';

内容的提问来源于stack exchange，提问作者Keshav Carpenter