Firebase Functions：存储Cookie记住用户及解决部署后Cookie不生效问题

我之前也碰到过类似的情况——本地用firebase serve跑完全正常，一部署到线上就发现cookie死活存不住。核心问题其实是本地开发环境和Firebase生产环境的安全配置差异，浏览器在HTTPS环境下对cookie的存储要求比HTTP严格得多。下面是一步步的解决方案：

1. 修正cookieSession的生产环境配置 #

默认的cookieSession配置没有适配生产环境的安全规则，你需要手动添加几个关键属性：

app.use(cookieSession({
  name: 'session',
  keys: ['utl__key_s1', 'utl__key_s2'],
  // 生产环境必须开启secure（Firebase部署后默认是HTTPS）
  secure: process.env.NODE_ENV === 'production',
  // 设置SameSite属性，避免浏览器因跨域规则阻止cookie
  sameSite: 'lax',
  // 可选：如果用了自定义域名，指定cookie生效的域名（注意前面的点）
  // domain: '.your-custom-domain.com',
  // 和你的统计逻辑匹配，设置会话过期时间为5分钟
  maxAge: 5 * 60 * 1000
}));

解释下关键点：

• secure: true：浏览器现在只允许HTTPS环境下存储带secure属性的cookie（localhost除外），这是本地正常但线上失效的最常见原因。
• sameSite: 'lax'：平衡安全性和可用性，避免跨域场景下cookie被浏览器拦截。

2. 配置CORS允许携带Cookie #

如果你的前端（Firebase Hosting）和后端（Cloud Functions）是不同域名（比如默认的*.firebaseapp.com和*.cloudfunctions.net），必须开启CORS的凭据支持：

首先安装cors依赖：

npm install cors

然后在express应用中配置：

const cors = require('cors');
app.use(cors({
  // 更安全的做法是指定你的Hosting域名，比如'https://your-app.firebaseapp.com'
  origin: true,
  credentials: true // 允许请求携带cookie
}));

3. 检查Firebase Hosting的重写规则 #

如果用Hosting的重写把请求转发到Cloud Functions，一定要加preserveHost: true，否则请求的Host头会变成Cloud Functions的域名，导致cookie的domain不匹配：

在firebase.json的hosting部分修改：

{
  "hosting": {
    "rewrites": [
      {
        "source": "**",
        "function": "your-function-name",
        "preserveHost": true
      }
    ]
  }
}

4. 补全会话检查逻辑 #

你提供的sessionExists函数没写完，这里补全并确保逻辑正确：

function sessionExists(req) {
  const t = req.session.viewTime;
  const now = +new Date();
  
  if (t == null) {
    req.session.viewTime = now;
    return false;
  }
  
  // 检查是否超过5分钟阈值
  if (now - t > 5 * 60 * 1000) {
    req.session.viewTime = now;
    return false;
  }
  
  return true;
}

5. 线上调试技巧 #

部署后打开浏览器开发者工具（F12），在Application > Cookies面板：

• 查看是否存在名为session的cookie
• 检查cookie的Secure、Domain、Expires属性是否符合配置
• 如果cookie不存在，去Console面板找警告信息（比如"Cookie blocked due to Secure attribute"），这些提示会直接告诉你问题根源

内容的提问来源于stack exchange，提问作者Relm