当 SameSite 设置为“无”且安全设置为 true 时，Express cookie-session 不保存 cookie

Question

我正在使用 cookie-session 和 passportjs 对我的 express 应用中的用户进行身份验证。当我像这样初始化我的 cookieSession 时：

app.use(cookieSession({
    maxAge: 24 * 60 * 60 * 1000,
    keys: ['key1']
}));

我的 cookie 已成功保存到客户端。但是，我正在进行的项目需要跨站点请求。因此，cookie 的安全属性必须设置为 true，并且 SameSite 属性必须设置为 none。在文档中，这些值可以设置如下：

app.use(cookieSession({
    maxAge: 24 * 60 * 60 * 1000,
    secure: true,
    sameSite: 'none',
    keys: ['key1']
}));

但是，当我这样做时，cookie 无法保存到客户端。我想知道是否有人知道如何解决此问题或为什么会发生这种情况？

提前谢谢你。

Answer 1

answer by Luka Darsalia 告诉我，至少在我的情况下，服务器拒绝向客户端发送 secure:true cookie，因为它认为客户端不安全（因为 request.protocol 是 http 而不是比https)。

起初我对此感到困惑，因为我的地址栏显示https。但后来我想起https只是用于我的浏览器和Cloudflare CDN之间的连接——Cloudflare CDN和我的实际服务器之间的连接仍然使用http。

因此，要修复它，我只需要确保 cookie-session（更具体地说，cookies 包中的 this line）连接是安全的，然后继续使用 @987654332 发送 cookie @标志。

为此，我只是在cookieSession 中间件之后添加了以下中间件：

// your existing cookieSession init here
app.use(cookieSession({
    [...]
    secure: true,
    sameSite: "none",
}));

// enable the "secure" flag on the sessionCookies object
app.use((req, res, next)=>{
    req["sessionCookies"].secure = true;
    next();
});

Answer 2

认证后使用这个：

passport.authenticate("local");
   req.session.save((error) => {
     if (err) {
       console.log(err);
     } else {
       res.redirect("/");
      }
});