Node Express中Post请求无法获取Session值问题

我之前开发Shopify App时也踩过这个坑！核心问题其实很明确：Shopify的Webhook请求是从它自己的服务器直接发往你的后端的，完全绕开了用户的浏览器，自然不会携带用户浏览器里的Session Cookie——而你用的express-session默认是靠Cookie传递Session ID的，所以在Webhook请求里根本找不到对应的Session数据。

咱们先理清楚矛盾点：

• 普通用户请求（比如浏览器访问你的页面）：靠Cookie带Session ID，express-session能从Cookie里拿到ID，再去存储引擎取Session数据。
• Shopify Webhook请求：是服务器对服务器的调用，没有用户浏览器的Cookie，所以默认的Session机制直接失效。

下面给你几个可行的解决方案，按推荐程度排序：

1. 用店铺标识替代Session（最规范的方案） #

这是Shopify官方推荐的做法，完全避开Session的问题。每个Webhook请求都会携带X-Shopify-Shop-Domain或X-Shopify-Shop-Id请求头，你可以用这个标识来关联店铺数据，替代Session的作用。

具体步骤：

• 首先必须做好Webhook签名验证（Shopify强制要求的安全措施），用官方的@shopify/shopify-api包来做最省心，不用自己写签名逻辑。
• 把原本存在Session里的店铺数据（比如access token、店铺域名）存到数据库，用店铺ID/域名作为主键。
• 收到Webhook请求时，先提取店铺标识，再从数据库拉取对应的店铺数据，用来调用Shopify API。

示例代码片段：

const { Shopify } = require('@shopify/shopify-api');

// 初始化Shopify API配置
Shopify.Context.initialize({
  API_KEY: '你的API密钥',
  API_SECRET_KEY: '你的API密钥',
  SCOPES: ['read_orders', 'write_orders'], // 按需调整权限
  HOST_NAME: '你的App域名',
  API_VERSION: '2024-01', // 用最新稳定版
  IS_EMBEDDED_APP: true,
  SESSION_STORAGE: new Shopify.Session.MemorySessionStorage(), // 生产环境换成数据库存储
});

// 处理订单创建Webhook的路由
app.post('/webhooks/order-created', async (req, res) => {
  try {
    // 验证Webhook签名，通过后会返回解析后的Webhook对象
    const webhook = await Shopify.Webhooks.Registry.process(req, res);
    
    // 从Webhook对象里提取店铺ID
    const shopId = webhook.shopId;
    
    // 从数据库查询该店铺的access token等数据（替代Session）
    const shopData = await yourDB.query('SELECT * FROM shops WHERE shop_id = ?', [shopId]);
    
    // 用店铺数据创建Shopify API客户端
    const restClient = new Shopify.Clients.Rest(shopData.shop_domain, shopData.access_token);
    // 调用API获取订单详情（示例）
    const orderDetails = await restClient.get({
      path: `/admin/api/2024-01/orders/${webhook.payload.id}.json`,
    });
    
    res.status(200).send('Webhook处理完成');
  } catch (err) {
    console.error('Webhook处理失败:', err);
    res.status(500).send('处理Webhook出错');
  }
});

2. 手动传递Session ID（临时hack，不推荐生产用） #

如果因为特殊情况必须依赖Session，只能手动把Session ID传到Webhook的回调URL里，但这种方式有安全风险，只适合测试或临时场景。

思路：

• 订阅Webhook时，把当前请求的Session ID拼到回调URL的查询参数里。
• 处理Webhook时，从查询参数拿到Session ID，再手动从express-session的存储引擎里取Session数据。

示例代码：

// 订阅Webhook时拼接Session ID
app.get('/subscribe-webhook', async (req, res) => {
  const sessionId = req.session.id;
  await Shopify.Webhooks.Registry.register({
    shop: req.session.shop,
    accessToken: req.session.accessToken,
    topic: 'orders/create',
    path: `/webhooks/order-created?sessionId=${sessionId}`,
  });
  res.send('Webhook订阅成功');
});

// 处理Webhook时手动加载Session
const sessionStore = app.get('sessionStore'); // 获取express-session的存储引擎

app.post('/webhooks/order-created', (req, res) => {
  const sessionId = req.query.sessionId;
  
  sessionStore.get(sessionId, (err, session) => {
    if (err || !session) {
      return res.status(401).send('无效Session');
    }
    
    // 现在可以用session里的access token等数据了
    const accessToken = session.accessToken;
    // ...后续API调用逻辑
    res.status(200).send('处理完成');
  });
});

⚠️ 注意：这种方式会把Session ID暴露在URL中，一定要配合Webhook签名验证，并且定期轮换Session ID，避免被恶意利用。

3. 用Shopify官方Session存储方案 #

如果你已经在使用@shopify/shopify-api包，可以自定义Session存储实现（比如存到MySQL/PostgreSQL），这样就能通过店铺ID找到对应的Session，不用依赖Cookie。

示例自定义存储：

class DatabaseSessionStorage {
  async storeSession(session) {
    // 将Session存入数据库
    await yourDB.query('INSERT INTO sessions (id, shop, state, access_token) VALUES (?, ?, ?, ?)', [
      session.id,
      session.shop,
      session.state,
      session.accessToken,
    ]);
  }
  
  async loadSession(sessionId) {
    // 从数据库加载Session
    const result = await yourDB.query('SELECT * FROM sessions WHERE id = ?', [sessionId]);
    if (result.length === 0) return null;
    const row = result[0];
    return new Shopify.Session.Session(row.id, row.shop, row.state, row.accessToken);
  }
  
  // 还需要实现deleteSession和findSessionsByShop方法
}

// 初始化时用自定义存储
Shopify.Context.initialize({
  // ...其他配置
  SESSION_STORAGE: new DatabaseSessionStorage(),
});

然后在Webhook里通过店铺ID找Session：

const sessions = await Shopify.Context.SESSION_STORAGE.findSessionsByShop(shopId);
const targetSession = sessions[0]; // 假设一个店铺只有一个有效Session

最后总结：优先选方案1，它完全符合Shopify的设计逻辑，安全又可靠；方案2只适合临时场景；方案3适合已经深度使用Shopify官方API包的项目。

内容的提问来源于stack exchange，提问作者Awais Akhter