Firebase Cloud Functions中express-session存值读取为undefined如何解决

问题表现 #

• 本地开发环境express-session读写逻辑正常，部署到Firebase Cloud Functions后，写入req.session.value = 5后，后续请求读取该值返回undefined
• 更换Firestore作为持久化存储后，问题依然存在

根本原因 #

• 中间件异步逻辑缺失：自定义中间件中给session赋值后，未等待session异步持久化完成就调用next()进入后续逻辑。Cloud Functions为无服务器架构，实例动态调度、不会常驻，若响应返回前session未完成写入，存储动作会被直接中断，后续请求自然读不到对应值。
• Cookie配置错误：代码中sameSite: false为无效配置，SameSite属性仅支持Strict/Lax/None三个合法值；生产环境开启secure: true时必须搭配sameSite: 'None'，否则浏览器不会在跨域请求中回传会话Cookie，后端每次请求都会生成全新的空session。
• 中间件加载顺序错误：cors中间件放在session中间件之后，跨域请求的预处理逻辑不会对session生效，跨域场景下Cookie校验直接失败。
• CORS配置未开启凭证支持：默认cors配置不允许跨域携带Cookie，即使后端Set-Cookie成功，前端后续请求也不会带上会话标识。

修复步骤 #

1. 调整中间件顺序与基础配置
   注意CORS要放在所有业务中间件最前，明确指定允许的前端域名、开启凭证支持，修正Cookie的SameSite属性，生产环境正确配置代理信任：

const session = require('express-session')
const config = require('./config')
const { v4: uuidv4 } = require('uuid');
const {Firestore} = require('@google-cloud/firestore');
const {FirestoreStore} = require('@google-cloud/connect-firestore');
const cors = require('cors');
const express = require('express');
const admin = require('firebase-admin');

admin.initializeApp();
const api = require("./api/index");
const app = express();

// 优先加载CORS配置
app.use(cors({
  origin: '替换为你的前端实际访问域名', // 禁止用*通配符，否则无法携带Cookie
  credentials: true
}));
app.use(express.json());

const sess = {
  secret: config.secretKey,
  genid: function(req){
    return uuidv4();
  },
  resave: false,
  saveUninitialized: false, // 禁止存储未修改的空session，减少无效存储开销
  store: new FirestoreStore({
    dataset: new Firestore(),
    kind: 'express-sessions'
  }),
  cookie: {
    sameSite: 'None', // 跨域场景必须设置为None
    secure: process.env.NODE_ENV === 'production', // 本地调试自动关闭secure，兼容HTTP环境
    maxAge: 24 * 60 * 60 * 1000 // 明确设置Cookie有效期，避免浏览器默认会话级Cookie异常丢失
  }
}

if(process.env.NODE_ENV === 'production'){
  app.set('trust proxy', 1); // 信任Firebase前置代理，保证secure Cookie正常校验
}

app.use(session(sess));

2. 修复自定义中间件的session写入逻辑
   给session赋值后，手动调用save方法等待持久化完成，再进入后续中间件逻辑，避免写入动作被Cloud Functions提前中断：

module.exports = (req, res, next)=>{
  if(/* 你的业务判断条件 */ ){
    req.session.value = 5
    // 等待session写入完成再往下执行
    req.session.save((err) => {
      if(err) {
        return res.status(500).json({error: '会话存储失败'});
      }
      next();
    })
    return; // 阻断后续逻辑执行
  }
  // 其余分支逻辑
  res.send(/* 你的返回内容 */)
}

3. 调整前端请求配置
   所有跨域请求必须开启携带凭证配置：
   • 用fetch发请求时，添加配置项credentials: 'include'
   • 用axios发请求时，添加配置项withCredentials: true

验证方式 #

• 部署后查看Firestore的express-sessions集合，确认请求后生成的session文档中存在value:5字段
• 打开浏览器开发者工具，查看接口响应头是否包含合法的Set-Cookie字段，后续请求头的Cookie中是否携带connect.sid会话标识
• 本地调试时不要开启生产环境的secure配置，否则HTTP环境下Cookie不会被浏览器保存

内容的提问来源于stack exchange，提问作者Alexc957