移动端访问Node+Express电商站无法创建session导致登录失败求助

问题根因 #

你的问题出在生产环境的session cookie配置不符合移动端浏览器的安全策略要求，导致移动端浏览器直接拦截了session cookie的写入，所以请求时无法携带有效session id，服务端读取到的session就是null。

解决方法 #

1. 修改index.js中生产环境的session配置，补全cookie的sameSite等属性，修改后的生产环境session配置如下：

}else if (process.env.NODE_ENV === "production"){
  app.set('trust proxy', 1); // 保留原有代理配置
  app.use(session({
    secret: process.env.SESS_KEY,
    resave: false, // 原配置true可改成false避免不必要的session重写，搭配MongoStore使用更合理
    saveUninitialized: false, // 原配置true可改成false，避免存储未初始化的空session
    cookie: { 
      secure: true,
      sameSite: 'none', // 显式指定SameSite属性，匹配移动端浏览器安全要求
      httpOnly: true, // 防止前端JS读取cookie，提升安全性
      maxAge: 1 * 24 * 60 * 60 * 1000 // 有效期和session存储ttl保持一致
    },
    store: MongoStore.create({
      mongoUrl: process.env.MONGODB_URL,
      ttl: 1 * 24 * 60 * 60 // = 1 day.
    })
  }));
}

2. 配置说明：
   现在绝大多数移动端浏览器（Safari、Chrome移动端、各厂商内置浏览器）都会默认拦截未显式指定SameSite属性的跨场景cookie，将sameSite设为none可以兼容所有场景下的cookie携带需求，且要求必须搭配secure: true使用，你的现有配置已经满足该前提。调整resave和saveUninitialized为false是express-session搭配持久化存储时的官方推荐配置，不会影响现有业务逻辑，还能减少无效的数据库写入操作。
3. 验证方案：
   部署修改后的代码后，用移动端浏览器访问站点，打开开发者工具的存储面板，确认登录后成功种下了带SameSite=None; Secure标识的session cookie即可。普通用户默认浏览器设置下改完配置都能正常使用。

内容的提问来源于stack exchange，提问作者Elijah Arhinful