Express cookie-session子路由访问req.session返回undefined问题

这是cookie-session对接React SPA的典型问题，核心出在两个配置疏漏：

• Cookie Path 解析的浏览器兼容问题
  你当前配置的path: "/panel/writerpanel"末尾没有加斜杠，虽然RFC规范定义这种配置应该匹配所有下级子路径，但Safari、部分旧版本Chrome会对无尾斜杠的path做精确匹配，只有请求路径完全等于/panel/writerpanel时才会携带对应cookie，子路径请求不会带该cookie，服务端自然读不到req.session。
  另外如果你是在/panel/writerpanel/loginpage这个子路径下完成session写入，部分浏览器会自动把cookie的生效范围收窄到当前子路径，覆盖你配置的全局path，直接导致其他子路由拿不到cookie。
• SPA 前端路由 fallback 缺失（仅直接访问/刷新子路由时报错时存在该问题）
  React用BrowserRouter做路由时，路由跳转是客户端控制的，如果Express端没有配置通配规则，把所有/panel/writerpanel/*的GET请求统一返回React打包后的index.html入口文件，你直接访问或刷新/panel/writerpanel/homepage时，服务端会找不到对应静态资源返回404，根本走不到正常的session解析逻辑。

按顺序调整配置即可：

1. 给cookie path配置末尾补斜杠，强制指定cookie作用域为整个子路径段，避免浏览器兼容问题：

app.use(cookieSession({
  name: 'wrtpsess',
  keys: ["dsfewfsffe3243efds"],
  // Cookie Options
  maxAge: 24 * 60 * 60 * 1000, // 24 hours
  path: "/panel/writerpanel/", // 末尾新增斜杠
  sameSite:"lax"
}))

2. 检查Express中间件加载顺序，确保cookieSession中间件的注册位置，在所有/panel/writerpanel相关的业务路由、静态资源处理逻辑之前。Express按中间件注册顺序执行，后置加载的中间件不会对前面的路由生效，这也是部分路由拿不到session的常见原因。
3. 补充SPA路由fallback配置，注意该规则要放在所有接口路由之后，避免拦截正常接口请求：

const path = require('path')
// 所有/panel/writerpanel下的非接口GET请求，统一返回前端入口文件
app.get('/panel/writerpanel/*', (req, res) => {
  res.sendFile(path.resolve(__dirname, 'React打包产物目录/index.html'))
})

4. 清除浏览器本地原有缓存的wrtpsess cookie，旧的错误path的cookie不会自动覆盖，清理后重新走登录流程验证即可。

内容的提问来源于stack exchange，提问作者Yash Mathur