如何让express-session仅在用户登录后存cookie且无cookie使用express-flash

核心配置调整 #

首先修改express-session的初始化配置，两个参数是解决默认生成空会话的核心：

app.use(
  session({
    cookie: {
      maxAge: max_session_ms,
      httpOnly: true,
      secure: config.secureCookies,
    },
    store: store,
    secret: config.secret,
    signed: true,
    resave: false, // 会话未修改时不要自动重存
    saveUninitialized: false, // 未初始化的空会话不要存储、不要下发cookie
  })
);

修改后，只有当你主动为req.session赋值（比如登录成功后写入用户ID、用户信息）时，express-session才会生成会话记录、向浏览器下发cookie，完全符合仅登录后存储cookie的需求。

Flash消息兼容方案 #

你之前用的express-flash依赖会话存储，所以会触发空会话生成，直接替换为无依赖的轻量实现即可，不需要依赖会话和cookie，同时覆盖所有场景：

// 替换express-flash的自定义中间件
app.use((req, res, next) => {
  res.locals.flash = {};

  // 单请求内消息传递（比如404提示、接口错误提示）直接存入locals，模板可直接读取
  res.flash = (type, content) => {
    res.locals.flash[type] = content;

    // 跨请求跳转场景（比如表单提交后跳转提示），把消息加密后放在URL参数传递，不存cookie
    if (['POST', 'PUT', 'DELETE'].includes(req.method)) {
      const encoded = Buffer.from(JSON.stringify({ type, content })).toString('base64url');
      // 跳转时拼接参数即可：res.redirect(`/page?flash=${encoded}`)
      res.locals.redirectFlash = encoded;
    }
  };

  // 跳转后自动读取URL中的flash消息
  if (req.query.flash) {
    try {
      const data = JSON.parse(Buffer.from(req.query.flash, 'base64url').toString());
      res.locals.flash[data.type] = data.content;
    } catch (err) {
      // 非法参数直接忽略
    }
  }
  next();
});

该实现完全不依赖会话和cookie，既支持匿名用户访问公开页面的消息提示，也支持登录用户的flash需求，不会触发cookie下发，符合GDPR要求。

登录逻辑适配 #

在用户登录成功、且确认用户已同意cookie政策的代码分支中，主动给req.session赋值用户信息，此时才会触发会话生成和cookie下发：

// 登录成功逻辑示例
if (userAuthPassed && userAgreedCookiePolicy) {
  req.session.userId = user.id;
  req.session.userInfo = user.basicInfo;
  // 后续正常处理登录成功逻辑
}

内容的提问来源于stack exchange，提问作者ginjaemocoes