Node/Express服务器如何向客户端浏览器发送Cookie？

核心问题点与对应修复 #

1. Session Cookie配置参数错误 #

你当前在session的cookie配置项中错误使用了expires字段传时间数值，会直接导致浏览器拒绝解析存储cookie：

• expires 字段要求传入具体的Date类型时间对象，直接传毫秒数值会造成cookie属性解析失败
• 若要设置cookie存活时长，应使用maxAge字段，直接传入毫秒数值即可
• 原有代码的时长计算存在错误，7天的正确毫秒值应为7 * 24 * 60 * 60 * 1000，原写法少乘了一个60，实际时长仅16.8小时

错误配置片段：

cookie: {
  expires: 7 * 24 * 6 * 60 * 1000,
  secure: false,
}

修复后配置：

cookie: {
  maxAge: 7 * 24 * 60 * 60 * 1000,
  secure: false, // 本地HTTP环境下保持false，上线HTTPS环境必须改为true
  httpOnly: true, // 建议开启，防止前端JS读取cookie引发XSS风险
  sameSite: 'lax' // 本地开发用lax即可，避免跨站场景下cookie被拦截
}

2. 中间件加载顺序错误 #

你当前将cookieParser()放在express-session初始化之后，会导致session解析cookie时无法拿到正确的解析结果，需调整中间件加载顺序：先加载基础解析类中间件，再加载CORS、session，最后加载passport和路由。
调整后的正确顺序参考：

// 基础请求解析中间件
app.use(express.json());
app.use(express.urlencoded({ extended: true }))
app.use(cookieParser()) // 移到session初始化之前

// CORS配置
app.use(
  cors({
       origin: "http://localhost:3000", 
       methods: "GET,HEAD,PUT,PATCH,POST,DELETE",
       credentials: true
 })
);

// 数据库连接
const port = process.env.PORT || 5000;
mongoose.connect(process.env.ATLAS_URI)
  .then(() => console.log("MongoDB Connection Success")) // 修复原then回调立即执行的问题
  .catch(err => console.log("MongoDB Connection Failed" + err))

// Session配置
app.use(session({
  secret: 'random secret',
  resave: false,
  saveUninitialized: false,
  store: MongoStore.create({ mongoUrl: process.env.ATLAS_URI }),
  cookie: {
    maxAge: 7 * 24 * 60 * 60 * 1000,
    secure: false,
    httpOnly: true,
    sameSite: 'lax'
  },
}));

// Passport认证中间件
app.use(passport.initialize())
app.use(passport.session())

// 路由挂载
app.use("/auth", auth)
app.listen(port, () => console.log(`Server running on port ${port}`))

3. 前后端凭证携带配置不匹配 #

服务端CORS开启credentials: true后，前端请求必须同步开启携带凭证配置，否则浏览器不会接收、存储服务端返回的Set-Cookie头：

• 原生fetch请求需添加配置项 credentials: 'include'
• axios请求需全局配置 axios.defaults.withCredentials = true，或在单个请求中配置withCredentials: true

4. 逻辑触发条件校验 #

你当前配置了saveUninitialized: false，该配置下空session不会被持久化存储，也不会触发Set-Cookie头返回。必须在认证通过的业务逻辑中主动给req.session写入自定义属性（比如req.session.userId = user._id），才能触发session保存和cookie下发。

额外排查点 #

• 本地开发时前端必须通过http://localhost:3000访问，不要使用127.0.0.1或其他端口、IP，否则会因CORS源不匹配被浏览器拦截Set-Cookie头
• 打开浏览器开发者工具的网络面板，查看认证接口的响应头：如果存在Set-Cookie字段但有红色警告，根据警告提示调整cookie的Domain、SameSite、Secure属性即可
• 检查浏览器是否开启了第三方cookie拦截，本地开发环境可临时关闭该设置验证

内容的提问来源于stack exchange，提问作者benwl