每次POST请求生成新SessionID，如何保持用户整个访问周期会话ID一致？

问题根因排查与修复方案 #

1. 优先解决跨域Cookie携带问题（最高概率） #

• 确认前端页面地址和后端POST接口地址是否为同域名同端口，如果是跨域场景：
  • 服务端session配置需要修改cookie参数：

    app.use(session({
        resave: false,
        saveUninitialized: true,
        secret: 'whatever',
        cookie: {
            maxAge: 60*60*1000,
            sameSite: 'none', // 跨域场景必须设为none
            secure: true // 配合sameSite:none必须开启，且服务端必须用HTTPS协议
        }
    }))
    

  • 服务端需要配置CORS跨域允许，增加Access-Control-Allow-Credentials: true，且Access-Control-Allow-Origin不能设为*，必须明确写前端的域名，可通过cors包快速配置：

    const cors = require('cors');
    app.use(cors({
        origin: '你的前端页面实际地址，比如https://xxx.com',
        credentials: true
    }))
    

• 检查前端fetch的url写法，跨域场景要写完整的接口地址，你已经配置了credentials: 'include'，该配置无需修改。

2. 替换默认内存Session存储 #

express-session默认的内存存储仅适合本地调试，不支持生产环境，且服务重启、热重载都会清空session，导致用户请求拿到新的sessionID，推荐使用持久化存储，以connect-mongo为例：

const MongoStore = require('connect-mongo');
app.use(session({
    resave: false,
    saveUninitialized: true,
    secret: 'whatever',
    store: MongoStore.create({ mongoUrl: '你的mongodb连接地址' }), // 新增持久化存储配置
    cookie: {
        maxAge: 60*60*1000,
        sameSite: 'strict', // 同域场景可以保留strict配置
        secure: false // 同域HTTP开发环境可以设为false，生产HTTPS环境设为true
    }
}))

3. 确认服务启动协议与Cookie安全配置匹配 #

如果你当前是用HTTP协议启动服务，不要设置secure: true，否则浏览器不会保存Cookie，导致每次请求都生成新的session。你代码中引入了https模块，需确认服务启动逻辑符合协议要求：

// HTTPS启动示例
https.createServer({
  key: fs.readFileSync('你的私钥文件路径'),
  cert: fs.readFileSync('你的证书文件路径')
}, app).listen(443);

如果是本地开发用HTTP，直接关闭secure配置即可。

内容的提问来源于stack exchange，提问作者530529