Express Session异常：登录后req.session.username仍为undefined求助

我帮你排查出了两个核心问题，正是它们导致了登录后全局路由里 req.session.username 异常以及后续的逻辑错误：

1. 路由顺序错误 #

你把 app.all('*') 全局中间件放在了 /protected 路由之前，这会导致所有请求（包括需要保护的 /protected）都会先进入这个全局中间件，而且由于中间件的逻辑问题，会直接发送响应，打断后续路由的执行。

2. 全局中间件逻辑错误 #

你的 app.all('*') 里有两处致命问题：

• 无论用户是否认证通过，都会执行 res.send()，这会导致即使已经调用 next() 放行到 /protected，也会提前发送一个响应，触发 "Cannot set headers after they are sent to the client" 的错误。
• 最后多余的 next() 调用完全没必要，而且会在响应已经发送后尝试继续处理请求，引发异常。

另外，关于你提到的 req.session.username 为 undefined 的问题，大概率是因为中间件逻辑错误导致的异常干扰，让你误以为 session 没有被正确保存；当然也有可能是测试时没有携带 session cookie（比如 Postman 未启用 cookie 保存，或者浏览器禁用了 cookie）。

修正后的完整代码 #

import * as express from 'express';
import * as session from 'express-session';
import * as bodyParser from 'body-parser';

const app: express.Express = express();

// 中间件顺序：先解析请求体，再处理session
app.use(bodyParser.json());
app.use(session({
  secret: 'secret',
  resave: false, // 建议设为false，避免不必要的session保存
  saveUninitialized: false, // 设为false，只在session被修改时才保存
  cookie: { maxAge: 60000 }
}));

// 登录路由：不需要认证，放在全局中间件之前
app.post('/login', (req, res) => {
  req.session.username = 'test';
  res.send('login successful');
});

// 登出路由：不需要认证，放在全局中间件之前
app.post('/logout', (req, res) => {
  req.session.username = undefined;
  res.send('logged out successfully ' + req.session.username);
});

// 全局认证中间件：放在需要保护的路由之前
app.all('*', (req, res, next) => {
  console.log('session username:', req.session.username);
  // 只对非登录/登出的路由进行认证检查
  if (req.path === '/login' || req.path === '/logout') {
    return next();
  }
  if (req.session.username !== undefined) {
    return next(); // 认证通过，放行到后续路由
  }
  // 认证失败，发送拒绝响应
  res.send('username = ' + req.session.username);
});

// 需要保护的路由：放在全局中间件之后
app.post('/protected', (req, res) => {
  res.send('protected content');
});

app.listen(3000, () => {
  console.log('Server started on port 3000!');
});

关键修正点说明 #

• 调整路由顺序：把登录、登出路由放在全局认证中间件之前，确保这些不需要认证的路由能正常访问；把需要保护的 /protected 放在中间件之后，确保只有认证用户能访问。
• 修复中间件逻辑：
  • 增加了对登录/登出路由的跳过检查，避免重复认证。
  • 认证通过时直接 return next()，避免后续代码执行；认证失败时才发送响应。
  • 移除了多余的 next() 调用，避免响应发送后触发异常。
• 优化session配置：把 resave 和 saveUninitialized 设为 false，这是express-session推荐的配置，能减少不必要的session存储操作。

现在你可以测试一下：先发送POST请求到 /login，然后带着session cookie发送POST请求到 /protected，就能正常访问受保护的内容了，全局中间件里打印的 req.session.username 也会是 test。

内容的提问来源于stack exchange，提问作者fixako