使用Node.js与PostgreSQL实现Session认证及解决Session ID不匹配问题

• express-session 默认从Cookie的connect.sid字段解析sessionID，你将sessionID放在自定义的session_id请求头中传递，框架无法识别，每次请求都会判定为新用户生成新的req.sessionID，因此二者对比永远不相等
• 客户端代码中session_id硬编码为固定值，没有使用登录接口返回的真实sessionID
• 跨域场景下默认CORS配置不支持携带凭证，即使使用默认Cookie传递逻辑也无法正常携带会话Cookie

提供两种实现方式，可根据需求选择： #

方案1：适配现有自定义请求头传递逻辑 #

后端修改 #

1. 调整express-session配置，新增自定义sessionID读取逻辑：

// session middleware 配置修改
app.use(sessions({
    // 新增配置项：优先从自定义请求头读取sessionID
    getSessionID: (req) => {
      // 若请求头存在session_id则取该值，否则兼容默认Cookie逻辑
      if(req.headers['session_id']) return req.headers['session_id']
      const cookieSid = req.cookies['connect.sid']
      return cookieSid ? cookieSid.split('.')[0].slice(2) : undefined
    },
    // 原有配置保持不变
    store: new pgSession({
        pool : pgPool,                
        schemaName: "public",
        pruneSessionInterval: false,
        tableName: "session",
        errorLog: (...args) => console.error(...args)
      }),
    secret: "thisismysecrctekeyfhrgfgrfrty84fwir767",
    saveUninitialized:false,
    cookie: { maxAge: oneDay },
    resave: false
}));

2. 登录接口调整返回值，明确返回sessionID：

app.post('/login',(req,res) => {
    if(req.body.email == 'testing.v@gmail.com' && req.body.password == 'Pass@123'){
        req.session.email=req.body.email;
        res.json({ session_id: req.sessionID });
    }
    else{
        res.status(401).send('Invalid username or password');
    }
})

客户端修改 #

替换硬编码的sessionID为登录接口返回的真实值：

success: function(data, textStatus, jqXHR)
{
    console.log('data', data)
    $.ajax({
        url: 'http://localhost:4000/user',
        type: 'GET',
        // 替换硬编码值为登录返回的session_id
        headers: {'session_id': data.session_id},
        success: function (result) {
           console.log('result', result)
        },
        error: function (error) {
         console.log('error', error)   
        }
    })
}

方案2：使用express-session默认Cookie模式（更安全规范） #

该方式不需要手动传递sessionID，框架自动通过Cookie完成会话管理，安全性更高。

后端修改 #

1. 调整CORS配置，允许跨域携带凭证：

app.use(cors({
  origin: "http://localhost:你的前端端口", // 必须指定前端地址，不能用通配符*
  credentials: true // 允许携带Cookie
}))

2. 优化session的Cookie安全配置：

app.use(sessions({
    // 原有store、secret等配置保持不变，仅修改cookie配置
    cookie: { 
      maxAge: oneDay,
      httpOnly: true, // 禁止前端JS读取Cookie，防范XSS攻击
      sameSite: 'lax',
      secure: process.env.NODE_ENV === 'production' // 生产环境HTTPS下开启
    },
    resave: false,
    saveUninitialized:false
}));

3. 简化/user接口的校验逻辑，不需要手动对比sessionID：

app.get('/user',(req,res) => {
    // 只要req.session中存在登录时存储的email字段，说明会话有效
    if(req.session?.email) {
      res.json({
        login: true,
        email: req.session.email
        // 可补充其他用户信息
      })
    } else {
      res.status(401).send('会话无效或已过期')
    }
})

客户端修改 #

所有AJAX请求开启携带凭证配置，不需要手动加session_id请求头：

// 登录请求新增withCredentials配置
$.ajax({
url : "http://localhost:4000/login",
type: "POST",
data : formData,
xhrFields: { withCredentials: true }, // 新增行
success: function(data, textStatus, jqXHR)
{
    console.log('data', data)
    // user请求同样新增withCredentials配置
    $.ajax({
        url: 'http://localhost:4000/user',
        type: 'GET',
        xhrFields: { withCredentials: true }, // 新增行
        success: function (result) {
           console.log('result', result)
        },
        error: function (error) {
         console.log('error', error)   
        }
    })
}
});

内容的提问来源于stack exchange，提问作者hari prasanth