使用Node.js Express时无法在auth控制器中设置Cookie如何解决

以下为按优先级排序的排查和修复方案：

• 跨域配置校验
  若前端调用auth接口为跨域场景，需同时满足两个配置：
  1. Express的cors中间件必须开启credentials: true属性
  2. 前端请求必须携带凭证标识：axios设置withCredentials: true，fetch设置credentials: 'include'
     app.js中测试Cookie时通常为同域直接调用，因此不受跨域规则限制。
• 中间件顺序与拦截校验
  1. 确认auth路由的注册位置在cookie-parser中间件之后，路由注册在cookie解析中间件之前会导致Cookie写入逻辑失效
  2. 检查auth路由是否挂载了自定义响应处理中间件，部分统一封装返回值的中间件会重置响应头，导致Set-Cookie被清空。可在res.cookie代码后打印res.getHeader('Set-Cookie')验证写入是否成功，若本地打印有值但前端收不到，可检查Nginx等反向代理是否过滤了Set-Cookie头。
• Cookie属性配置修复
  原代码存在属性缺失和容错不足问题，修改后的配置如下：

  const createSendToken = (user, statusCode, res) => {
    const token = signToken(user._id);
    const cookieOptions = {
      // 补充默认值，防止环境变量为空导致过期时间异常
      expires: new Date(Date.now() + (Number(process.env.JWT_COOKIE_EXPIRES_IN) || 7) * 24 * 60 * 60 * 1000),
      secure: process.env.NODE_ENV === 'production',
      // 新增httpOnly防止前端JS读取Cookie，提升安全性
      httpOnly: true,
      // 新增sameSite配置适配跨域场景，生产环境跨域需设为none且必须配合secure=true生效
      sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'Lax'
    };
    user.password = undefined;
  
    res.cookie('jwt', token, cookieOptions);
  
    res.status(statusCode).json({
      status: 'success',
      token,
      data: {
        user,
      },
    });
  };
  

  常见属性错误包括环境变量JWT_COOKIE_EXPIRES_IN无效导致过期时间为非法值、缺省sameSite属性被浏览器默认安全策略拦截写入。

内容的提问来源于stack exchange，提问作者Andrej Kep