使用express-session无法获取会话变量且Session ID变更，原因何在？

看起来你遇到的核心问题是会话无法保持，每次请求都生成新的Session ID，导致之前存入的变量丢失。结合你给出的代码片段，我整理了几个最可能的原因和对应的修复方案：

1. Cookie配置不完整或错误 #

你代码里的cookie: {...}部分没写完，这很可能是关键问题。浏览器需要正确的Cookie属性才能保存Session ID，否则每次请求都会让服务器生成新的会话。常见的错误配置包括：

• secure: true但使用HTTP协议：如果是本地开发（http://localhost），把secure设为true会导致浏览器拒绝保存Cookie——因为secure要求只有HTTPS连接才会发送Cookie。开发环境应该设为false，生产环境再改为true。
• 缺少httpOnly或sameSite属性：httpOnly: true可以防止XSS攻击，同时确保Cookie能正常被浏览器管理；sameSite建议设为'lax'（默认）或'strict'，避免跨站点请求丢失Cookie。
• 未设置maxAge：如果没设置Cookie的过期时间，默认是会话Cookie（关闭浏览器就失效），测试过程中如果浏览器意外清理了Cookie，也会导致会话丢失。

修复后的Cookie配置示例（本地开发用）：

cookie: {
  httpOnly: true,
  secure: false, // 生产环境改为true
  sameSite: 'lax',
  maxAge: 24 * 60 * 60 * 1000 // 1天有效期
}

2. 前端请求未携带Session Cookie #

如果你的前端页面（静态资源里的HTML/JS）在请求后端接口时，没有携带Session Cookie，服务器会认为这是新的会话，生成新的Session ID。比如用fetch或axios发起请求时，需要配置允许携带凭证：

• 用fetch的话，要加credentials: 'include'（跨域）或'same-origin'（同域）：

  fetch('/api/your-endpoint', {
    method: 'POST',
    credentials: 'same-origin', // 同域下用这个更安全
    body: JSON.stringify(data)
  })
  

• 用axios的话，设置withCredentials: true：

  axios.post('/api/your-endpoint', data, {
    withCredentials: true
  })
  

3. 中间件顺序错误 #

你代码里先加载了静态资源中间件express.static，再加载session中间件。虽然静态资源请求也会经过后续的中间件，但如果静态资源的请求没有携带Cookie，saveUninitialized: true会让服务器创建空的会话，导致Session ID频繁变更。建议把session中间件放在express.static之前，这样所有请求（包括静态资源）都会先经过会话处理，避免不必要的空会话创建：

// 调整顺序
app.use(session({
  secret: 'tester',
  saveUninitialized: false, // 建议改为false，避免空会话存储
  resave: false,
  cookie: { /* 正确的配置 */ }
}))
app.use(express.static(__dirname + "/src"))
app.use(bodyParser.json())

另外，saveUninitialized: true会保存未修改过的空会话，建议改为false，只在会话被修改时才保存，减少不必要的会话创建。

4. 内存存储的局限性（开发环境注意） #

默认express-session用内存存储会话，虽然开发环境能用，但如果服务器重启或者有多个进程，会话会丢失。不过你的问题是同一次运行中取不到，所以这个可能性较低，但如果测试过程中不小心重启了服务，也会出现这个问题。如果是生产环境，建议换成Redis等持久化存储。

快速排查步骤 #

1. 打开浏览器开发者工具（F12），在Application标签下查看Cookies，确认是否有connect.sid（默认的Session Cookie名）存在，并且每次请求都会发送这个Cookie。
2. 在后端接口里打印req.sessionID和req.session，看每次请求的Session ID是否一致，以及会话变量是否被正确存储。
3. 验证Cookie的属性是否符合当前环境（HTTP/HTTPS）。

内容的提问来源于stack exchange，提问作者Glenn Parale