部署到Heroku后Express session不持久，设置sameSite:none无set-cookie响应头

安全阿岳

2026-10-7

问题修复方案

核心根因

Heroku 采用反向代理架构处理用户请求，你的 Node 服务实际运行在代理层之后，默认 Express 不信任代理传递的请求协议标识，即使客户端走 HTTPS 访问 Heroku 入口，Node 服务拿到的还是 HTTP 请求标识，因此会判定当前连接不符合 secure: true 的 cookie 下发要求，直接忽略了 set-cookie 逻辑。

具体修改步骤

1. 新增代理信任配置，放在所有中间件最前面
  给 Express 开启代理信任，让它可以正确识别代理层传递的 HTTPS 请求标识
```
app.set('trust proxy', 1);
```
1. 调整中间件加载顺序
  express-session 依赖 cookieParser 处理 Cookie，必须把 cookieParser 的调用放在 session 中间件之前，你当前的代码顺序是反的。
1. （可选优化）调整 session 配置的非必填参数
  官方推荐 resave 和 saveUninitialized 设为 false，减少无效的 session 存储操作，不影响核心逻辑。

修改后完整参考代码

// 代理信任配置放在最顶部
app.set('trust proxy', 1);

// Middlewares
app.use(express.json());
app.use(cookieParser("secret")); // 移到session前面

app.use(
  cors({
    origin: "https://authclient.netlify.app",
    credentials: true,
  })
);

app.use(
  session({
    secret: "secret",
    resave: false, // 推荐修改
    saveUninitialized: false, // 推荐修改
    cookie: {
      sameSite: "none",
      secure: true,
    },
    store: MongoStore.create({ mongoUrl: dbURI }),
  })
);

app.use(passport.initialize());
app.use(passport.session());
require("./passportConfig")(passport);