Node.js实现JWT Cookie认证时 服务端req.cookies返回空问题排查

跨源异步请求的Cookie携带规则未配置 #

你的场景是典型的前后端分离架构：前端运行在https://localhost:3000，后端服务必然部署在其他端口/域名下，属于跨源请求，空Cookie的本质链路是：

• 前端组件发起/getAuthCookie请求时，浏览器默认遵循同源凭证策略，不会主动把已有Cookie附带到跨源请求头中
• 就算Cookie能在开发者工具的应用面板里看到，只要请求没开启凭证携带，后端拿到的请求头里压根没有Cookie字段，cookie-parser中间件自然只能解析出空对象

需要配套调整两侧配置：

• 前端请求开启凭证携带：如果用原生fetch调用接口，要传入credentials: 'include'配置；如果用axios，要设置withCredentials: true
• 后端CORS中间件开启跨源凭证支持：不能把跨域源设置为通配符*，要明确填写前端的实际访问地址，同时设置credentials: true

Cookie配置项不符合现代浏览器规范 #

你当前的Cookie参数存在容易被浏览器拦截的问题：

• 注释掉了sameSite配置，Chrome等现代浏览器会默认把未显式指定sameSite的Cookie设为Lax模式。这种模式下只有顶级导航的GET请求会携带Cookie，前端组件内发起的异步fetch属于子资源请求，不符合携带条件，自然不会附带Cookie
• 不要使用sameSite: false这类旧版兼容写法，新版Express的res.cookie方法中，sameSite的合法值为'strict' | 'lax' | 'none'：
  • 本地http开发环境：设置sameSite: 'lax'即可，保持secure: false，确保同站不同端口的异步请求能正常携带Cookie
  • 线上HTTPS生产环境：如果是跨站调用场景，需要设置sameSite: 'none' + secure: true，否则浏览器会直接拦截这类Cookie

关于你提到的“前端发起请求导致req指向错位”的疑问 #

不存在这类问题，每个Express的req对象是对应单次请求独立创建的，不会指向其他请求的位置。你看到的/createAuthCookie接口能正常读到Cookie，是因为这个接口是Passport认证完成后的302重定向链路，属于服务端主动跳转的顶级导航流程，天然符合Cookie的携带规则，和/getAuthCookie的异步请求场景有本质区别。

• 你当前设置httpOnly: false，意味着Cookie可以被前端JS读取，但浏览器对Cookie是按源隔离的：如果Cookie是后端在localhost:4000这类独立端口下设置的，你在localhost:3000的页面控制台里，执行document.cookie是读不到这个Cookie的，只有在Cookie所属的源页面控制台中，才能通过该方法拿到存储的token值
• 如果你希望前端能直接读取这个Cookie，需要在设置Cookie时，把domain属性明确配置为localhost（本地开发）或者对应的共享根域名（生产环境），让Cookie在同站的所有子域、端口下可见

额外排查提示
确认你已经在Express应用中引入并使用了cookie-parser中间件，否则哪怕请求头里携带了Cookie，服务端也没法把字符串形式的Cookie内容解析成结构化的req.cookies对象。

内容的提问来源于stack exchange，提问作者Michael Hla