Node.js Session 如何仅针对部分路由将sameSite属性设置为none

有两种可落地的实现方式，根据你的路由场景选择即可：

方案1：单session实例，单路由动态修改配置 #

express-session支持在单个请求的生命周期内动态修改session cookie的配置，不需要改动全局配置，适合零散的个别路由需要调整sameSite的场景：

1. 先按常规逻辑初始化全局session中间件，配置大部分路由使用的默认参数：

const session = require('express-session');
app.use(session({
  secret: '替换为你自己的加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    // 全局默认配置
    sameSite: 'lax',
    secure: process.env.NODE_ENV === 'production',
    maxAge: 24 * 60 * 60 * 1000
  }
}));

2. 在需要设置sameSite: 'none'的路由中，处理业务逻辑前先修改当前请求的cookie配置：

app.get('/api/需要跨站访问的路由', (req, res) => {
  // 仅对当前请求生效
  req.session.cookie.sameSite = 'none';
  req.session.cookie.secure = true;

  // 后续你的业务逻辑，比如设置session字段
  req.session.userId = 'xxx';
  res.json({ code: 0 });
});

方案2：多session实例，路由分组配置 #

如果有一整组路由都需要使用sameSite: 'none'，可以创建两个独立的session中间件实例，分别挂载到不同的路由前缀，避免每次手动修改配置：

// 通用业务session实例，供普通路由使用
const commonSession = session({
  secret: '替换为你自己的加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    sameSite: 'lax',
    secure: process.env.NODE_ENV === 'production',
    maxAge: 24 * 60 * 60 * 1000
  },
  name: 'common_sid' // 两个实例的cookie名称必须不同，避免冲突
});

// 跨站专用session实例，供需要跨站访问的路由使用
const crossSiteSession = session({
  secret: '替换为你自己的加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    sameSite: 'none',
    secure: true,
    maxAge: 24 * 60 * 60 * 1000
  },
  name: 'cross_sid' // 和上面的name区分开
});

// 分别挂载到不同路由前缀
app.use('/api/common', commonSession);
app.use('/api/cross-site', crossSiteSession);

注意事项 #

• sameSite: 'none'必须搭配secure: true才能被浏览器正常识别，且仅在HTTPS环境下生效，本地HTTP调试时配置会被忽略
• 如果服务端用了Nginx等反向代理，需要添加配置app.set('trust proxy', 1)让express可以正确识别HTTPS请求，避免secure属性不生效
• 多实例场景下必须为每个实例设置不同的name参数，否则会出现cookie互相覆盖导致session失效的问题

内容的提问来源于stack exchange，提问作者Slayes