同域名多子域名场景如何实现session共享？（React+Node/Express技术栈）

1. 跨多子域名实现session共享是否可行？ #

完全可行，只要满足所有应用都属于同一个根域名的子域名的前提，比如a.example.com、b.example.com都属于example.com的下级域名，就可以通过配置实现会话共享。

2. 跨多子域名实现session共享的最优方案 #

结合你的技术栈，推荐优先使用带共享存储的express-session + 父域名Cookie方案，配置逻辑如下：

后端配置步骤 #

• 配置express-session的Cookie属性，核心是指定domain为根域名，示例代码：

const session = require('express-session');
const RedisStore = require('connect-redis')(session);
const { createClient } = require('redis');

// 初始化Redis客户端，所有子域名对应的后端服务都连接同一个Redis实例
const redisClient = createClient({
  url: 'redis://你的Redis服务地址:6379'
});
redisClient.connect().catch(console.error);

app.use(session({
  store: new RedisStore({ client: redisClient }),
  secret: '你的session加密秘钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    domain: '.example.com', // 替换成你的根域名，前面的点代表匹配所有子域名
    httpOnly: true, // 禁止前端JS读取，防范XSS攻击
    secure: process.env.NODE_ENV === 'production', // 生产环境（HTTPS）开启
    sameSite: 'lax', // 降低CSRF风险
    maxAge: 24 * 60 * 60 * 1000 // 会话有效期按需设置
  }
}));

• 所有子域名对应的Express服务，都使用相同的session加密秘钥、相同的Redis存储、相同的Cookie域名配置即可。

前端配置步骤 #

• React端不需要额外存储会话凭证，所有发往后端的请求开启携带Cookie的配置即可：
  • 用axios的话，全局设置axios.defaults.withCredentials = true
  • 用原生fetch的话，每次请求加上credentials: 'include'参数
• 子域名切换直接通过location.href跳转即可，父域名Cookie会自动携带到对应子域名的请求中，会话自动生效。

备选JWT方案 #

如果你更倾向用JWT，也可以遵循同样的逻辑：把JWT令牌存在domain为父域名的httpOnly Cookie中，所有子域名的后端服务用同一个秘钥校验JWT签名即可，不要把JWT存在localStorage，避免跨子域无法共享的问题。

注意事项 #

• 该方案仅支持同根域名的子域名共享，跨不同根域名无法通过Cookie实现
• 生产环境务必开启Cookie的secure属性，仅在HTTPS请求下传输Cookie，避免凭证泄露

内容的提问来源于stack exchange，提问作者DIIMIIM