NodeJS与ExpressJS框架下Session变量无法正常存储数据问题求助

问题根因 #

• 接口末尾打印undefined是异步执行顺序问题：Agent.findOne、bcrypt.compare均为异步操作，写在接口最后的同步console.log会早于异步回调的赋值逻辑执行，此时还未给req.session._id赋值，自然输出undefined，不属于session丢失问题。
• 后续接口无法获取session的常见原因：
  1. express-session默认使用内存存储session，服务重启（比如nodemon热更新）时内存数据会被清空，且生产环境内存存储本身不支持多进程、集群部署，会出现session不同步问题。
  2. 前后端分离场景下未配置跨域cookie规则，后端session依赖cookie存储会话ID，跨域时默认不会携带cookie，导致后端无法匹配到对应session。
  3. session未完成持久化就提前返回响应，部分场景下修改session后还没来得及写入存储，接口就已经返回，导致后续请求拿不到最新的session值。
  4. CORS配置错误，跨域场景下后端未允许凭证传递，导致session cookie被浏览器拦截。

解决方案 #

1. 配置session持久化存储 #

推荐使用connect-mongo将session存入MongoDB和业务数据库统一存储，先安装依赖：
npm install connect-mongo
修改index.js中的session配置：

var session = require("express-session");
const MongoStore = require('connect-mongo');

app.use(
session({
  secret: "abcdefghijklmnopqrstuvwxyz",
  resave: false,
  saveUninitialized: false,
  // 新增session存储配置，替换为你自己的MongoDB连接地址
  store: MongoStore.create({
    mongoUrl: 'mongodb://localhost:27017/你的数据库名称',
    ttl: 7 * 24 * 60 * 60 // session有效期为7天
  }),
  // 新增cookie配置，适配跨域场景
  cookie: {
    maxAge: 7 * 24 * 60 * 60 * 1000, // cookie有效期7天
    httpOnly: true,
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    secure: process.env.NODE_ENV === 'production' // 生产环境HTTPS下需设为true
  }
 }) 
);

2. 手动等待session保存完成再返回响应 #

修改agent_login接口中赋值session后的逻辑，调用req.session.save()确保写入完成后再返回接口响应：

else if (match) {
  req.session._id = user._id;
  console.log("Request session inside agent login : " + req.session._id);
  // 等待session写入存储后再返回
  req.session.save(err => {
    if (err) {
      console.log("session保存失败: ", err);
      return res.status(500).json({
        message: "Internal server Error",
        success: false,
      });
    }
    res.status(200).json({
      token: utils.generateToken(user),
      message: "Agent login successfully",
      success: true,
    });
  });
}

3. 配置后端CORS允许凭证 #

如果使用cors中间件处理跨域，需要调整配置：

const cors = require('cors');
app.use(cors({
  origin: 'http://你的前端域名:端口', // 不能设为*，必须是具体的前端域名
  credentials: true
}));

4. 配置前端请求携带cookie #

前后端分离部署时，需要给前端请求添加携带凭证的配置：

• 若使用axios，添加全局配置：axios.defaults.withCredentials = true
• 若使用原生fetch，每个请求添加配置项：credentials: 'include'

内容的提问来源于stack exchange，提问作者Zain ul abideen