Express设置SameSite=none和secure=true时cookie-session不保存Cookie问题

云原生阿岚

2026-10-15

问题根因

带secure: true属性的Cookie仅支持HTTPS协议传输，如果你当前是通过HTTP访问服务（比如本地开发用http://localhost），浏览器会直接拒收该Cookie，不会写入本地存储
若你的Express服务部署在Nginx、云平台PaaS反向代理之后，默认不会识别代理转发的HTTPS请求，会判定当前请求为HTTP，cookie-session会直接跳过Set-Cookie响应头的下发
部分低版本浏览器（iOS 12以下、Chrome 67版本以下）不识别SameSite: None属性，会自动过滤该配置的Cookie

修复方案

首先确保你的服务全程走HTTPS协议，本地开发阶段可以使用mkcert等工具配置本地HTTPS环境，禁止用HTTP地址测试跨站Cookie
配置Express信任代理，在cookieSession初始化之前添加如下代码：
app.set('trust proxy', 1);
该配置会让Express读取反向代理携带的X-Forwarded-Proto请求头，正确识别当前请求的协议类型
可按需添加旧浏览器兼容逻辑，动态调整SameSite属性：

app.use(cookieSession({
    maxAge: 24 * 60 * 60 * 1000,
    secure: true,
    sameSite: 'none',
    keys: ['key1'],
    cookie: {
        sameSite: (req) => {
            const ua = req.get('User-Agent');
            // 可根据实际兼容范围调整匹配规则
            if (ua.includes('iPhone OS 12') || ua.includes('Chrome/5') || ua.includes('Chrome/6')) {
                return 'lax';
            }
            return 'none';
        }
    }
}));