HTTP响应头未返回Set-Cookie导致React+Express JWT鉴权失败问题

Postman默认自动维护CookieJar，请求自动带Cookie、自动接收Set-Cookie，不受浏览器同源策略限制，所以测试正常。浏览器侧跨域场景下Cookie传输失败，是三个配置错误共同导致的：

• 后端CORS默认配置不允许跨域携带凭证，浏览器直接拦截响应中的Set-Cookie头
• 前端fetch未开启凭证配置，跨域请求既不会携带本地已有Cookie，也不会接收服务端写入的Cookie
• Cookie Session未配置适配跨域场景的SameSite、secure属性，不符合浏览器Cookie安全校验规则

1. 修正后端CORS配置 #

替换原有默认的app.use(cors())，添加明确的跨域规则：

app.use(cors({
  // 替换为你前端实际运行的源地址，比如Vite默认是http://localhost:5173，Create React App默认是http://localhost:3001
  // 注意：开启凭证后不能设为"*"通配符，否则浏览器直接拦截响应
  origin: "http://localhost:5173",
  credentials: true, // 核心：允许跨域请求携带Cookie
  allowedHeaders: ["Content-Type"]
}));

注意：CORS配置必须放在路由注册之前，否则不生效

2. 调整cookieSession配置 #

补全Cookie安全属性，适配本地开发和生产环境：

app.use(
  cookieSession({
    name: "prode_session",
    secret: process.env.SESSION_SECRET || "MIOURI_PRODE_SECRET", // 生产环境务必把密钥放到环境变量
    httpOnly: true, // 原配置设为false存在XSS窃取Cookie风险，生产环境必须开启
    sameSite: process.env.NODE_ENV === "production" ? "none" : "lax", // 跨域部署需设为none，本地开发用lax即可
    secure: process.env.NODE_ENV === "production", // 本地HTTP环境设为false，生产HTTPS环境必须开启
    maxAge: 24 * 60 * 60 * 1000 // Cookie有效期和JWT有效期（24h）对齐
  })
);

3. 修正前端fetch请求配置 #

所有跨域请求添加credentials: "include"配置，同时删除无效的请求头：

• 登录请求修改：

const response = await fetch("http://localhost:3000/signin", {
  method: "POST",
  mode: "cors",
  credentials: "include", // 新增：允许请求携带、接收Cookie
  headers: {
    "Content-Type": "application/json",
    // 删除原配置里的"Access-Control-Allow-Origin"，这是后端返回的响应头，前端加在请求头里无意义，还可能触发预检异常
  },
  body: JSON.stringify({
    email,
    password,
  }),
});

• 用户校验请求修改：

const user = await fetch("http://localhost:3000/user", {
  method: "GET",
  mode: "cors",
  credentials: "include", // 新增：允许请求携带、接收Cookie
  headers: {
    "Content-Type": "application/json",
    // 同样删除无效的"Access-Control-Allow-Origin"
  },
});

1. 清空浏览器当前localhost域名下的所有缓存Cookie
2. 重启后端Node服务，重启前端服务
3. 重新发起登录请求，此时查看浏览器Network面板的/signin响应头，就能看到Set-Cookie字段
4. 后续访问/user接口时，请求头会自动携带prode_session的Cookie值，后端即可正常从req.session.token读取到JWT令牌，接口正常返回true

额外排查点：如果配置完还是异常，先关闭浏览器的广告拦截、隐私防护类插件，部分插件会默认拦截第三方Cookie写入。

内容的提问来源于stack exchange，提问作者miouri