使用express-session设置session后浏览器无法查看connect.sid cookie

原因1：未触发session写入逻辑 #

即使配置了saveUninitialized: true，部分场景下如果没有主动修改req.session的属性，express-session不会主动下发Set-Cookie响应头。

• 解决方法：新增测试路由，在返回响应前给req.session设置任意属性，触发session写入：

app.get('/test-session', (req, res) => {
  req.session.testFlag = 'test'
  res.send('session已初始化')
})

访问该测试接口后再查看浏览器cookie即可。

原因2：中间件注册顺序错误 #

如果app.use(session(sessionConfig))的注册位置在路由注册代码之后，路由处理请求时还未经过session中间件处理，无法下发cookie。

• 解决方法：调整中间件注册顺序，确保session中间件注册在所有用到session的路由之前。

原因3：跨域场景缺少CORS配套配置 #

前后端分离的跨域场景下，必须同时满足以下两个条件，浏览器才会保存下发的connect.sid cookie：

1. 后端CORS配置开启credentials: true，且Access-Control-Allow-Origin不能设置为*，必须指定具体的前端域名，使用cors中间件的示例配置如下：

const cors = require('cors')
app.use(cors({
  origin: 'http://前端服务域名:端口',
  credentials: true
}))

2. 前端发请求时必须开启withCredentials，以axios为例：

// 全局配置
axios.defaults.withCredentials = true
// 单次请求配置
axios.get('/接口地址', { withCredentials: true })

原因4：反向代理/HTTPS场景配置缺失 #

如果服务部署在nginx等反向代理之后，或者使用HTTPS协议访问，需要添加额外配置：

1. 开启express的trust proxy设置：

app.set('trust proxy', 1)

2. 显式配置cookie的secure属性为auto，适配HTTP/HTTPS场景：

const sessionConfig = {
  // 其余配置保持不变
  cookie: {
    httpOnly: true,
    maxAge: 100 * 60 * 60 * 24 * 7,
    secure: 'auto'
  },
};

补充说明：你当前的配置中同时配置了expires和maxAge，express-session会优先使用maxAge，你可以删除冗余的expires配置避免潜在冲突。

内容的提问来源于stack exchange，提问作者Roei Yaacobi