MEAN栈聊天应用：如何在Socket.io连接中获取持久化Express Session ID

我帮你排查了代码里的问题，主要是中间件顺序错误、session配置缺失以及跨域cookie传递设置不到位导致的。下面是具体的修复方案和修改后的代码：

问题根源分析 #

1. 中间件顺序混乱：Express的中间件是按加载顺序执行的，你把cors、body-parser放在了session和socket配置之后，导致跨域cookie无法正确解析，session也没法在Socket.io连接前初始化。
2. session配置不合理：saveUninitialized: true会导致每次请求（包括Socket.io连接）都创建新的空session，这就是为什么socket.handshake.session.id每次都变的原因。
3. 跨域cookie未开启：你的CORS配置没允许credentials，前端无法把connect.sid cookie传递给后端，所以socket.handshake.headers.cookie里找不到这个键。

修复步骤及修改后的代码 #

const cors = require('cors'), 
      express = require('express'), 
      eSession = require('express-session'), 
      cookieParser = require('cookie-parser'), 
      MongoStore = require('connect-mongo')(eSession), 
      sharedsession = require('express-socket.io-session'), 
      http = require('http'), 
      bodyParser = require('body-parser'), 
      socketio = require('socket.io');

const app = express();
const server = http.createServer(app);
const io = socketio(server);
const port = process.env.PORT || 3000;

// 数据库连接
const mongoose = require('./config/dbconnection');
const db = mongoose.connection;

// 路由导入
const user = require('./api/routes/user');

// CORS配置：必须开启credentials，允许前端传递cookie
const corsOptions = { 
  origin: 'http://localhost:4200', 
  optionsSuccessStatus: 200,
  credentials: true // 关键：允许跨域传递cookie
};

// 中间件加载顺序必须严格遵循：CORS → Cookie解析 → Session → Body解析 → 路由
app.use(cors(corsOptions));
app.use(cookieParser('my-secret'));

// Session配置优化：避免创建空session，显式配置cookie属性
const mStore = new MongoStore({ mongooseConnection: db });
const session = eSession({ 
  secret: 'my-secret', 
  resave: false, // 改为false，避免不必要的session保存
  saveUninitialized: false, // 关键：只保存有修改的session，防止空session创建
  store: mStore,
  cookie: {
    httpOnly: true,
    sameSite: 'lax', // 跨域场景下如果是https可以用'none'，同时设置secure: true
    maxAge: 24 * 60 * 60 * 1000 // 设置session有效期，可选
  }
});

app.use(session);

// 集成Socket.io和Express Session
io.use(sharedsession(session, { 
  autoSave: true 
}));

// Body解析中间件
app.use(bodyParser.urlencoded({ extended: true }));
app.use(bodyParser.json());

// 挂载路由
app.use('/user', user);

// Socket.io连接处理
const socketHandle = (io, mStore) => {
  io.on('connection', (socket) => {
    socket.on('join', (options, callback) => {
      console.log('Cookie:', socket.handshake.headers.cookie); // 现在应该能看到connect.sid了
      console.log('Socket Session ID:', socket.handshake.session.id);
      // 可以和API接口里的req.session.id对比，应该一致
    });
  });
};

socketHandle(io, mStore);

server.listen(port, () => console.log(`listening on http://localhost:${port}`));

关键修改点说明 #

1. 调整中间件顺序：把cors、cookieParser、session放在最前面，确保跨域请求和session在路由、Socket.io连接前就被正确处理。
2. 开启CORS credentials：让Angular前端（localhost:4200）可以传递connect.sid cookie到后端。
3. 优化session配置：saveUninitialized: false避免每次连接都生成新session，resave: false减少不必要的数据库写入。
4. 显式配置cookie属性：确保connect.sid cookie能被正确存储和传递。

前端配合修改 #

别忘了在Angular的HTTP请求和Socket.io连接里开启withCredentials：

• HTTP请求：this.http.get(url, { withCredentials: true })
• Socket.io连接：this.socket = io('http://localhost:3000', { withCredentials: true });

现在重启服务后，socket.handshake.session.id应该和API接口里的req.session.id完全一致，而且connect.sid也会出现在socket.handshake.headers.cookie中。

内容的提问来源于stack exchange，提问作者Anand Kashyap