为何登录一个Node.js应用会导致另一个应用登出？（不同端口、Passport+express-session）

嘿，这个问题我帮好几个朋友排查过，核心原因基本都绕不开express-session的Cookie与Session存储配置冲突，咱们一个个说清楚：

1. Session Cookie的name参数重复了 #

express-session默认的Cookie名称是connect.sid，如果你的两个应用都没改这个配置，那它们会共用同一个Cookie键。举个实际场景：

• 你登录App1，服务器给浏览器设置了connect.sid=xxx的Cookie；
• 接着登录App2，App2的服务器也会用connect.sid这个名字设置新的Cookie值yyy，直接把之前的xxx覆盖了；
• 这时候再回到App1，浏览器带的是yyy这个sid，但App1的Session存储里根本没有这个记录，自然就判定你未登录，触发登出。

解决办法：给每个应用的session配置不同的name，比如：

// App1的配置
app.use(session({
  name: 'app1-sid',
  secret: 'app1-secret-key',
  resave: false,
  saveUninitialized: false
}));

// App2的配置
app.use(session({
  name: 'app2-sid',
  secret: 'app2-secret-key',
  resave: false,
  saveUninitialized: false
}));

2. Cookie的domain配置导致跨应用共享 #

如果你的两个应用部署在同一个顶级域名下（比如app1.yourdomain.com和app2.yourdomain.com），要是其中一个或两个应用把session的domain设成了.yourdomain.com（注意前面的点），那这个Cookie会在整个顶级域名下共享。这时候：

• 登录App2时生成的新sid会覆盖App1的Cookie；
• 或者App1读取到App2的sid，发现自己的Session存储里没有对应数据，就会创建新的空Session，导致原登录状态丢失。

解决办法：要么给每个应用设置精准的子域名domain（比如app1.yourdomain.com），要么干脆不设置domain（默认会用当前请求的域名），避免Cookie跨应用共享。

3. 共用Session存储但未区分前缀 #

如果你的两个应用用了同一个Session存储（比如Redis、MongoDB），但没给各自的session配置不同的prefix，那它们的Session数据会堆在同一个命名空间里。比如：

• App1登录生成的sid是abc123，存在存储里的键是sess:abc123；
• App2登录生成的sid刚好也是abc123（概率低但有可能），就会直接覆盖App1的Session数据；
• 就算sid不重复，当App2清理过期Session时，也可能误删App1的有效Session。

解决办法：给每个应用的session配置不同的prefix，比如：

// App1用Redis存储的配置
const RedisStore = require('connect-redis')(session);
app.use(session({
  store: new RedisStore({
    prefix: 'app1:sess:'
  }),
  // 其他配置...
}));

// App2的配置
app.use(session({
  store: new RedisStore({
    prefix: 'app2:sess:'
  }),
  // 其他配置...
}));

4. Session签名密钥secret不一致 #

如果两个应用的secret参数不一样，当浏览器带着App1的Cookie访问App2时，App2会验证Cookie的签名失败，直接生成新的Cookie覆盖掉原来的。这时候回到App1，Cookie已经被换成App2的无效签名，自然就登出了。

解决办法：确保每个应用的secret是独立的、不重复的字符串。

内容的提问来源于stack exchange，提问作者sachin