MongoDB存储会话时无法保存Facebook访问令牌的问题排查

看起来你遇到了一个挺头疼的问题——明明在Facebook回调里已经把长时令牌存进session了，日志也显示设置成功，但后续前端请求过来时，session里就是找不到这个令牌。我帮你梳理下可能的原因和逐步排查的修复建议：

问题核心分析 #

从你的日志能看出关键矛盾：

Session saved successfully: Session { ..., accessToken: '********' }
但后续请求时：Session in Middleware: Session { cookie: { ... } }（完全没有accessToken字段）

这说明要么会话数据没正确持久化到MongoDB，要么后续请求没拿到正确的会话实例。

逐步排查与修复建议 #

1. 优先解决跨域Cookie传递问题 #

这是跨域场景下会话丢失的最常见原因，你的前端已经设置了withCredentials: true，但后端必须配套正确的CORS配置：

• 确保后端安装并配置了cors中间件，绝对不能用origin: "*"，必须指定具体的前端域名，同时开启credentials: true：

  const cors = require('cors');
  app.use(cors({
    origin: process.env.ENVIRONMENT === 'production' 
      ? process.env.PRODUCTION_CLIENT_URL 
      : process.env.LOCAL_CLIENT_URL, // 比如开发环境填"http://localhost:3000"
    credentials: true,
    allowedHeaders: ['Content-Type', 'X-Client-IP'],
    methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS']
  }));
  

• 开发环境下，浏览器对localhost的跨域Cookie有特殊支持，确保前后端都用localhost作为域名（不要用IP地址），端口不同不影响，但必须显式指定origin。

2. 移除手动设置Cookie的代码，避免冲突 #

你在req.session.save()回调里手动调用了res.cookie('connect.sid', ...)，但express-session已经会自动管理会话Cookie的创建和更新，手动设置会覆盖或干扰默认逻辑，导致会话ID不匹配。直接删掉这段代码：

// 删掉以下冗余代码块
// res.cookie('connect.sid', req.sessionID, {
//     httpOnly: true,
//     secure: process.env.ENVIRONMENT === "production",
//     sameSite: 'lax',
//     maxAge: 3600000,
// });

3. 优化Session与MongoStore配置 #

当前的Session配置有几个可以调整的点，避免会话数据丢失：

• 将resave改为false：MongoStore会自动检测会话变化并保存，resave: true会导致不必要的重复写入，甚至可能覆盖刚设置的accessToken。
• 调整sameSite配置：生产环境跨域场景下需要设为"none"（同时必须开启secure: true），开发环境用"lax"即可。
• 显式设置Cookie的domain：确保跨端口请求能携带Cookie。

修改后的Session配置：

app.use(
  session({
    name: "connect.sid",
    secret: process.env.JWT_SECRET,
    resave: false, // 关键修改：关闭强制重写会话
    saveUninitialized: false,
    cookie: {
      httpOnly: true,
      secure: process.env.ENVIRONMENT === "production",
      sameSite: process.env.ENVIRONMENT === "production" ? "none" : "lax",
      maxAge: 3600000,
      domain: process.env.ENVIRONMENT === "production" 
        ? ".your-production-domain.com" // 生产环境用根域名，支持子域共享
        : "localhost" // 开发环境允许跨端口携带Cookie
    },
    store: MongoStore.create({
      mongoUrl: process.env.MONGO_URI,
      ttl: 14 * 24 * 60 * 60,
      autoRemove: "native",
      touchAfter: 24 * 3600 // 减少MongoDB写入频率，24小时内仅更新一次会话有效期
    }),
  })
);

4. 验证会话数据的持久化与一致性 #

• 检查MongoDB中的会话数据：用MongoDB Compass连接你的数据库，打开sessions集合，找到回调中打印的sessionID对应的文档，查看session.data字段里是否包含accessToken。如果没有，说明会话在保存时就丢失了数据；如果有，说明后续请求没拿到正确的会话。
• 对比前后请求的SessionID：在fetchFacebookPages接口中添加日志，打印收到的SessionID，和回调中保存的SessionID对比：

  export const fetchFacebookPages = async (req, res) => {
    console.log("Received Session ID:", req.sessionID);
    console.log("Received Session Data:", req.session);
    // 后续逻辑...
  };
  

  如果两个SessionID不一致，说明前端请求没有携带正确的Cookie，导致后端创建了新的会话。

5. 补充关键节点的错误校验 #

在获取长时令牌后，添加兜底校验，避免存入无效值：

const longLivedToken = await exchangeForLongLivedToken(shortLivedToken);
console.log('Long lived token:', longLivedToken);

// 新增校验：确保令牌有效
if (!longLivedToken || typeof longLivedToken !== 'string') {
  console.error('Invalid long-lived token:', longLivedToken);
  return res.status(500).json({ message: 'Failed to get valid long-lived token' });
}

总结 #

最可能的问题是跨域Cookie传递配置不全或手动设置Cookie导致的会话ID冲突。先按照上面的步骤移除手动Cookie代码、配置正确的CORS，再检查MongoDB中的会话数据，应该就能定位到问题所在。

备注：内容来源于stack exchange，提问作者Kristiyan