Node.js设置Cookie时如何获取设备信息识别异设备登录？

express-session和cookie-parser本身只是会话管理、Cookie解析的基础工具，不自带设备识别能力，但可以基于这两个包扩展实现异设备登录检测能力。你之前遇到的输错密码时拿不到对应Cookie的问题，是代码逻辑位置错误导致的，和工具本身无关。

• express-session默认只有在session内容被修改、且请求正常返回响应时，才会向客户端下发Set-Cookie响应头。如果你把“写入用户名到Cookie/session”的逻辑放在「密码校验通过」的分支内，输错密码时请求直接走登录失败分支，根本没有执行写Cookie的代码，自然客户端不会存对应Cookie。
• 如果需要在登录失败场景也能拿到标识，要把设备标识类Cookie的写入逻辑放到登录接口最外层、密码校验逻辑之前执行，不要嵌套在登录成功的判断分支里。

两个包只负责Cookie的读写、会话维护，设备识别、可信设备绑定的逻辑需要自行实现，具体流程如下：

• 前置埋点：用户首次访问站点（无论是否进入登录流程）时，服务端生成一个无业务含义的随机设备ID，通过Cookie下发到客户端，Cookie配置httpOnly: true、sameSite: 'lax'防前端篡改，有效期可设置为90~180天。

  禁止直接在Cookie中明文存储用户名、设备特征等可伪造的内容，仅存储服务端生成的随机ID即可。

• 可信设备绑定：用户首次在某设备登录成功时，将当前请求携带的设备ID与当前用户ID做关联，存入数据库标记为可信设备，同时可额外采集不可轻易篡改的辅助特征和该设备记录绑定：比如请求头User-Agent、IP段、TLS指纹等，作为后续校验的兜底依据。
• 异设备判定：后续用户发起登录请求、或访问鉴权接口时，提取请求携带的设备ID，查询该ID是否和当前登录用户存在可信绑定关系：如果无绑定记录，即可判定为异设备访问，触发短信二次验证、登录提醒等安全逻辑。
• 容错处理：Cookie可能被用户手动清理，因此不要单靠设备ID做唯一判定依据，要配合之前采集的辅助特征做交叉校验，降低误判率。

• 不要在登录失败分支提前返回响应，导致设备Cookie的写入逻辑没执行，比如在return res.status(401).send('密码错误')之前没有先触发session保存、Cookie下发，就会复现你之前遇到的问题。
• cookie-parser仅负责解析请求头中携带的Cookie内容，express-session仅负责会话数据的存储和读写，二者本身不提供任何设备指纹采集、异设备判定的封装能力，所有安全校验逻辑都需要在服务端自行实现。
• 不要把设备校验逻辑放在前端执行，设备ID生成、可信绑定、异设备判定的全流程都要放在服务端完成，前端仅负责正常透传Cookie即可。

内容的提问来源于stack exchange，提问作者Prash