NodeJS配置CORS跨域时服务端响应头Set-Cookie未设置问题咨询

问题根因 #

你配置的session cookie中secure: true和当前本地开发使用的HTTP协议不兼容：
当cookie的secure属性设为true时，浏览器仅会在HTTPS加密连接下接收、存储该cookie。你本地前端访问地址是http://localhost:3000属于HTTP协议，因此浏览器会直接忽略服务端返回的Set-Cookie响应头。Postman无该浏览器安全限制，因此可以正常设置Cookie。

解决方案 #

根据使用场景调整session配置即可：

1. 本地开发场景

动态判断环境调整cookie属性，示例代码如下：

const isProd = process.env.NODE_ENV === 'production'
router.use(session({
    secret: 'the secret',
    cookie: {
        maxAge: 2000 * 60, 
        sameSite: isProd ? 'none' : 'lax', 
        secure: isProd
    },
    store: store,
    resave: false, // 非必要无需重复保存未修改的session，降低存储开销
    saveUninitialized: false, // 未初始化的空session不存储，减少无效记录
}));

2. 生产环境场景

确保前后端都使用HTTPS协议部署，原有sameSite: 'none' + secure: true的配置可以正常生效。

补充说明 #

你当前的CORS配置已经符合跨域携带Cookie的要求，不需要额外调整。如果后续使用Axios全局配置，可统一添加Axios.defaults.withCredentials = true避免单个请求漏写配置。

内容的提问来源于stack exchange，提问作者Oscar Figueroa