React+Express场景下express-session每次发请求即被重置求助

触发问题的代码硬错误 #

• Cookie过期时间配置严重错误
  express-session的cookie配置中expires单位为毫秒，你写的3000换算后仅3秒有效期，和注释标注的15分钟完全不符。Cookie刚在登录响应中设置完成，3秒后就会被浏览器自动清除，后续所有请求都无法携带这个Cookie，后端每次识别不到旧会话，只能生成全新的空session。
• express-session核心参数拼写错误
  配置项saveUnintialized存在拼写偏差，正确参数为saveUninitialized。拼写错误的配置不会被模块识别，直接走默认值，可能导致未修改的会话被反复覆盖。
• CORS配置存在浏览器禁止的互斥规则
  全局cors()方法仅开启credentials: true，未指定明确的前端源地址，默认会将Access-Control-Allow-Origin设为通配符*。浏览器规则明确：当请求携带凭证时，通配符的源配置会直接拦截Set-Cookie响应，也不会允许后续请求携带已存储的Cookie。同时你将自定义CORS头中间件挂载在session解析逻辑之后，跨域校验流程晚于会话解析，进一步导致Cookie无法正常传递。
• 缺少SameSite属性配置
  cookie配置未显式设置sameSite属性，现代浏览器默认的Lax策略会拦截跨源fetch请求携带的Cookie，哪怕其他配置全部正确，浏览器也不会将会话Cookie附带在跨源请求中。

修复后的可参考实现 #

服务端配置 #

调整所有中间件的挂载顺序：CORS处理逻辑 → 会话解析逻辑 → 业务路由，删除重复的自定义CORS头中间件：

// 最前面挂载CORS逻辑，兼容凭证传递
app.use(cors({
  origin: 'http://localhost:3000', // 替换为实际前端地址
  credentials: true
}))

const session = require('express-session')
app.use(session({
  secret: 'tis a secret mate',
  cookie: {
    maxAge: 15 * 60 * 1000, // 15分钟有效期
    httpOnly: true,
    secure: process.env.NODE_ENV === 'production', // 生产环境HTTPS下开启
    // 同域名不同端口的同站场景开发环境设为lax，生产跨站场景设为none
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax'
  },
  saveUninitialized: false,
  resave: false,
  store: MongoStore.create({
    mongoUrl: process.env.MONGODB_URI_SESSIONS
  })
}))

// 会话日志中间件
app.use(function (req, res, next) {
  console.log('当前会话ID：', req.sessionID)
  next()
})

// 后续挂载登录、check-session等业务路由

前端逻辑调整 #

你当前Fetch请求的credentials: 'include'配置正确，需要补充两个注意点：

• 登录请求的Promise完全resolve后，再调用checkSession接口。如果两个请求并行发送，登录响应的Cookie还没被浏览器持久化，第二个请求自然无法携带会话信息。
• 确认API_HOST地址和前端源的协议、域名配置一致，没有混合内容（HTTP/HTTPS混写）导致的Cookie拦截。

效果验证 #

修复完成后，可通过浏览器开发者工具的「应用 → Cookie」面板确认：

1. 会话Cookie的过期时间为15分钟后，不会短时间失效
2. 跨请求时会话Cookie的值不会变化
3. 后端日志打印的会话ID在登录、checkSession两个请求中完全一致，checkSession接口能返回之前存储在session中的用户信息。

内容的提问来源于stack exchange，提问作者Matthew Kwan