Express部署至AWS HTTP环境时Passport无法设置Cookie问题

主流现代浏览器（Chrome 80+、Firefox 79+、Edge等）对跨站Cookie有强制安全约束：

• 当Cookie的sameSite属性设置为"none"时，必须同时将secure属性设为true，否则浏览器会直接拒绝写入该Cookie，不会做任何静默存储。
• localhost本地环境运行正常，是因为浏览器将localhost默认标记为可信安全上下文，豁免了上述强制校验；但部署到AWS公网HTTP环境后，不属于豁免范围，安全规则直接生效，Cookie被浏览器拦截。
• 此前调整CORS origin为true/false、移除Cookie配置的操作无效，是因为问题本质不在CORS跨域层，而是浏览器内置的Cookie安全策略拦截。

生产环境推荐方案：配置HTTPS #

这是唯一符合浏览器安全规范的长期可用方案：

1. 为AWS服务绑定域名，配置SSL证书开启HTTPS访问（可使用免费SSL证书）
2. 调整express-session的Cookie配置：

app.use(
  session({
    secret: sessionSecret,
    resave: false,
    saveUninitialized: false,
    cookie: {
      secure: true, // HTTPS环境下必须开启
      sameSite: "none",
      httpOnly: true, // 建议开启，防止XSS攻击窃取Cookie
      maxAge: 24 * 60 * 60 * 1000 // 按需配置Cookie有效期
    },
  })
);

3. 如果服务前套了AWS负载均衡、Nginx等反向代理，需要额外加一行配置让Express信任代理，否则无法正确识别HTTPS协议导致Secure Cookie失效：

app.set('trust proxy', 1)

4. CORS配置保持credentials: true，origin字段必须明确填写前端的实际访问域名，不能设为通配符*或者随意设为true/false。

临时测试方案（不推荐生产使用） #

如果暂时不需要配置HTTPS，仅做功能测试，可以修改SameSite策略绕开限制：

cookie: {
  secure: false,
  sameSite: "lax", // 替换none为lax
}

注意：该配置下跨站POST请求、iframe嵌入场景不会自动携带Cookie，仅适合同域部署、基础功能调试场景，生产环境使用会有功能兼容问题。

• 配置修改完成后，先清除浏览器中对应域名下的所有历史无效Cookie，再重新测试，避免旧缓存干扰结果。
• 可以打开浏览器开发者工具的「应用-存储-Cookie」面板，查看Cookie是否成功写入，以及对应的SameSite、Secure属性是否符合预期。

内容的提问来源于stack exchange，提问作者Tempus