express-session 无法在生产中设置 connect.sid cookie

Question

应用程序正在使用 postgres 池来存储会话。一直工作到应用程序成为整体并且请求通过反向代理路由。 但现在它自己的服务部署到 Elastic Beanstalk 上的生产，并且行为不符合预期。

app.use(cors({credentials: true, origin: 'http://localhost:3000'}));

var sess = {
    store: new (connectPgSimple(session))({ pool: db.pool }),
    cookie: { 
        maxAge: 30 * 24 * 60 * 60 * 1000,
        httpOnly: false
    },
    secret: process.env.COOKIE_SECRET,
    resave: false,
    saveUninitialized: true,
}

// Trust first proxy for production
if (process.env.NODE_ENV === 'production') {
    app.set('trust proxy', 1) 
    sess.cookie.secure = true
}

app.use(session(sess));

还将 withCredentials: *true* 添加到来自客户端的所有请求。

似乎只有当传入请求被代理到 Express 服务器时才会设置 connect.sid 会话 cookie。 我尝试了使用 Express-Session 的配置变体来信任代理，但它仍然没有创建所需的 cookie。

POST 请求的示例响应 当我检查 Application > 时，您可以看到发送回 Set-Cookie 标头的响应。 存储 > Cookie 我没有看到 connect.sid cookie

Answer 1

对于遇到 express-session 无法设置 connect.sid cookie 问题的人。另外，您可以检查您的 'saveUninitialized': true, 是否为 true 这意味着如果设置 'saveUninitialized': false，则不会设置 cookie，因为没有任何内容导致 cookie 被设置。

Answer 2

就我而言，问题出在 nginx https 代理并在配置中添加 X-Forwarded-Proto 标头：

location / {
  ....
  proxy_set_header X-Forwarded-Proto $scheme;
}

Answer 3

所以，你要做的就是

app.set('trust proxy', 1);

在你的nodejs中的session之前进行设置。这将解决由代理或负载均衡器创建的 cookie 不创建的问题。这设置了信任代理，告诉服务器识别真实客户端IP。信任代理中的 1 将告诉服务器信任第一个 IP，即真实客户端。

此外，如果您的后端和前端位于不同的域中。例如，您可以设置cookie中的域；对于前端 abc.vercel.app ，请编写 .vercel.app 并添加点 .

app.set('trust proxy', 1);
const sessionData = session({
    name: "THECOOK",
    secret: process.env.SESSION_SECRET || 'default_secret',
    resave: process.env.RESAVE === 'true',
    saveUninitialized: process.env.SAVE_UNINTIALIZED === 'true',
    cookie: {
        maxAge: 60 * 60 * 1000, // 1 hour
        httpOnly: true,
        secure: process.env.NODE_ENV === 'production', // true if HTTPS in production
        sameSite: process.env.NODE_ENV === 'production' && 'lax',

        domain: process.env.COOKIE_DOMAIN || undefined

    },
    rolling: process.env.ROLLING === 'true',
    store: MongoStore.create({
        mongoUrl: process.env.MONGO_DB_URI,
        collectionName: 'sessions',
        ttl: 14 * 24 * 60 * 60 // 14 days
    })
});

app.use(sessionData);