Express使用cookie-parser时已设cookie但req.cookies返回空对象

核心问题定位 #

你遇到的req.cookies返回空对象的问题，90%以上是前端跨域请求未配置携带凭证导致的，可按以下步骤逐一排查修复： #

1. 前端请求增加凭证携带配置 #

后端已开启cors的credentials: true支持，前端发请求时必须同步配置允许携带跨域cookie：

• 使用fetch调用接口时添加配置：

fetch('http://<你的后端服务地址>/authStatus', {
  method: 'POST',
  credentials: 'include'
})

• 使用axios调用接口时添加配置：

axios.post('http://<你的后端服务地址>/authStatus', {}, {
  withCredentials: true
})

2. 校验cookie作用域匹配规则 #

你在设置authcookie时未指定domain和path，默认仅对设置cookie的登录接口所属域名、路径生效：

• 确保/authStatus接口的请求域名，和登录接口/login的域名完全一致
• 如果需要跨子域共享cookie，可在设置cookie时补充domain配置：

res.cookie("auth", token, {
  httpOnly: true, 
  secure: false,
  domain: '.localhost' // 本地开发场景适配
})

3. 修复现有代码隐藏缺陷 #

你写的verifyToken中间件存在两处错误，后续使用时会导致验证失败：

1. req.cookies是存储所有cookie的对象，需要提取auth字段再做jwt验证
2. 验证通过后必须调用next()，否则请求会卡住无响应
   修复后的代码：

function verifyToken(req,res,next){
    const token = req.cookies?.auth
    if(!token) return res.redirect("/loginFirst")
    try{    
        const user = jwt.verify(token, process.env.TOKEN_SECRET)
        req.user = user
        next()
    } catch{
        res.status(400).send("Invalid Token")
    }
}

4. 可选排查点 #

• 可在浏览器开发者工具「网络」标签，查看/authStatus请求的请求头中是否存在Cookie字段，确认cookie是否被正常携带
• 如果使用了前端代理（如webpack/vite的devServer代理），需要配置changeOrigin: true和cookieDomainRewrite，确保cookie能正常透传

内容的提问来源于stack exchange，提问作者Stefan St