express-session能否设置Cookie永不过期？maxAge最大值及默认值是多少？

1. 是否可以设置永不失效的Cookie？ #

HTTP协议本身没有原生支持永不失效的Cookie定义，但可以通过配置实现近似永久有效的效果。
官方文档提到的1年有效期只是安全最佳实践推荐，并非技术限制。

2. 近似永久有效的配置方法 #

最稳妥的方案是设置一个超大有效期，同时开启每次访问自动刷新有效期，只要用户在有效期内至少访问一次，Cookie就永远不会过期，配置示例如下：

// 建议设置10年有效期，既满足长期需求也兼容旧版浏览器
const TEN_YEARS = 10 * 365 * 24 * 60 * 60 * 1000;
const options = {
  resave: true,
  saveUninitialized: true,
  rolling: true, // 关键配置：每次用户请求都刷新Cookie的过期时间
  cookie:{
    maxAge: TEN_YEARS,
    httpOnly: true // 建议开启，避免前端JS读取Cookie引发安全问题
  },
  store: new RedisStore({ 
    client: RedisClient,
    ttl: TEN_YEARS / 1000 // RedisStore的ttl单位是秒，需要和Cookie有效期同步
  })
};

maxAge最大值说明 #

按照RFC 6265规范，Cookie的max-age属性最大支持2^31-1秒，换算成毫秒约为68年，超过这个值部分旧浏览器会自动将会话识别为临时会话，因此不建议设置超过68年的有效期。

3. maxAge默认值规则 #

express-session中maxAge默认值为null，对应会话级Cookie，规则是：

• Cookie只会保存在浏览器的内存中，不会写入磁盘持久化存储
• 浏览器进程完全关闭后，Cookie会自动被清除

4. 设为null时Cookie仍留存的原因 #

这是浏览器本身的特性导致的，和express-session无关，常见原因：

• 现代浏览器普遍支持「上次浏览记录恢复」功能，关闭浏览器时不会完全销毁会话Cookie，下次启动会恢复之前的会话数据，看起来就像Cookie留存了
• 浏览器后台进程未完全退出，比如Chrome关闭窗口后默认会保留后台进程，会话Cookie不会被清除
• 测试时没有完全关闭所有浏览器窗口，同一个浏览器进程下的会话Cookie会一直生效

内容的提问来源于stack exchange，提问作者favor