如何基于请求源动态设置express-session的cookie domain属性？

你之前两次尝试的核心问题 #

1. 第一次直接在session初始化配置里引用req：session中间件是应用启动阶段就完成初始化的，这时候没有任何请求上下文，根本拿不到req对象，自然抛出未定义错误。
2. 第二次自定义包裹的写法逻辑错误：你在自定义中间件里调用session({...})生成了新的中间件函数，但从未手动执行这个函数，只是把它作为返回值抛出。Express不会自动识别并执行这个返回的函数，必须手动把req、res、next参数透传进去，整个处理链才能正常运行。另外你把MongoStore的实例化逻辑放进了请求处理流程里，会导致每次请求都重复创建数据库连接，长期运行会造成连接泄漏。

推荐方案：按请求上下文生成独立的session配置，手动透传参数 #

这种方式每个请求的配置都是独立的，没有并发污染风险，也不会重复创建公共依赖实例：

1. 先把不依赖请求的公共实例提到模块作用域，避免重复初始化：

   const session = require('express-session')
   const MongoStore = require('connect-mongo')
   // 全局只初始化一次数据库连接实例，和你原有逻辑保持一致
   const fixedMongoStore = MongoStore.create({
     mongooseConnection: mongoose.connection,
     touchAfter: 24 * 3600
   })
   const sessionSecret = 'very secret 12345'
   

2. 在自定义中间件里根据请求信息生成对应配置，手动执行生成的session中间件：

   app.use((req, res, next) => {
     // 用req.hostname判断环境比读origin头更可靠，同源请求不会携带origin头
     const isLocalDev = req.hostname === 'localhost'
     const curSessionMiddleware = session({
       secret: sessionSecret,
       resave: true,
       saveUninitialized: false,
       store: fixedMongoStore, // 复用全局的固定store实例，不重复创建连接
       cookie: {
         // 本地开发不设置domain，浏览器会默认匹配当前请求主机；生产设置根域实现子域共享
         domain: isLocalDev ? undefined : '.mydomain.com',
         // 本地是HTTP协议，必须关闭secure，否则浏览器会拦截cookie写入
         secure: !isLocalDev,
         httpOnly: true,
         sameSite: isLocalDev ? 'lax' : 'none'
       }
     })
     // 手动把请求参数传给生成的session中间件，执行核心处理逻辑
     curSessionMiddleware(req, res, next)
   })
   

常见踩坑点 #

• 不要依赖req.get('origin')做环境判断：用户直接通过地址栏访问页面、同源跳转的请求都不会带origin头，判断逻辑会完全失效，用req.hostname读取当前请求的主机名是最可靠的方式。
• 本地开发场景不要硬开secure: true：本地一般是HTTP协议，浏览器会直接拦截带secure标记的cookie，造成写入失败。这个配置只需要在生产HTTPS环境开启即可。
• 生产环境设置根域cookie时，写为.mydomain.com（前缀带点）的兼容性最好，所有二级、三级子域都能正常携带该cookie。
• sameSite配置不要硬写none：本地开发前后端虽然端口不同，但只要是localhost域，用lax策略就可以正常跨端口共享cookie，不需要强开none+secure的组合。

内容的提问来源于stack exchange，提问作者Dashiell Rose Bark-Huss