passport-local-mongoose验证正常但浏览器未生成cookie如何解决？

问题排查及修复方案 #

• CORS 源配置不匹配
  你当前前端运行地址为localhost:3000，但CORS配置里只允许http://127.0.0.1:3000访问，两者在浏览器标准中属于不同源，导致后端返回的Set-Cookie头被跨域策略拦截。修改CORS配置如下：

app.use(cors({
    origin: ['http://localhost:3000', 'http://127.0.0.1:3000'],
    credentials: true,
}));

• 前端请求未携带凭证配置
  无论你使用fetch还是axios发起登录请求，都需要显式开启凭证配置，否则浏览器不会接收后端返回的Cookie：

// axios 配置示例
axios.post('http://localhost:5000/login', 登录参数, { withCredentials: true })

// fetch 配置示例
fetch('http://localhost:5000/login', {
  method: 'POST',
  credentials: 'include',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify(登录参数)
})

• Passport 配置与路由挂载顺序错误
  你当前代码先挂载了路由，再配置Passport的序列化、本地策略，导致请求进入路由时Passport还未完成初始化，无法生成会话。调整顺序如下：

// 先完成Passport全量配置
const User = require('./models/User.js')
passport.use(User.createStrategy());
passport.serializeUser(User.serializeUser());
passport.deserializeUser(User.deserializeUser());

// 再挂载路由
app.use('/', require('./routes/auth'));

• 会话Cookie配置优化
  可以显式补充Cookie的有效期、安全属性配置，避免默认配置导致的异常：

app.use(session({
    secret: '你自己的会话加密密钥',
    resave: false,
    saveUninitialized: false,
    cookie: {
      httpOnly: true, // 禁止前端JS读取Cookie，提升安全性
      secure: process.env.NODE_ENV === 'production', // 只有HTTPS环境下才传输Cookie，本地开发时为false
      maxAge: 24 * 60 * 60 * 1000 // Cookie有效期为1天，可自行调整
    }
}));

内容的提问来源于stack exchange，提问作者Yogi Wannabe