如何使用 heroku + node.js + express 设置安全 cookie？

Question

我有一个在 Cedar 堆栈上运行的 node.js 应用程序，我很困惑为什么安全 cookie 不起作用。

"express": "3.0.3",
"node": ">=0.8.14",

...
app.use(express.session({
        secret : 'somesecret',
        store : // store works fine, sessions are stored
        key : 'sid',
        cookie : {
            secure : true, // it works without the secure flag (cookie is set)
            proxy : true,  // tried using this as well, no difference
            maxAge: 5184000000 // 2 months
        }
}));
...

在 localhost 上一切正常，但在 heroku 上我似乎无法设置安全 cookie。我究竟做错了什么？ docs 说负载均衡器终止 SSL，是否需要在那里配置？
非常感谢

Answer 1

如果您使用的是cookie-session，它应该如下所示：

app.use require('cookie-session') 
   secret: '<secret>'
   secureProxy: true

Answer 2

解决方案

问题是我把proxy: true设置错了，应该是这样的：

...
app.enable('trust proxy'); // optional, not needed for secure cookies
app.use(express.session({
    secret : 'somesecret',
    store : ..., // store works fine, sessions are stored
    key : 'sid',
    proxy : true, // add this when behind a reverse proxy, if you need secure cookies
    cookie : {
        secure : true,
        maxAge: 5184000000 // 2 months
    }
}));
...

如果您想在 Heroku 托管应用程序的某处使用 req.protocol，请同时添加 @friism 建议的 app.enable('trust proxy');。

Answer 3

您是正确的，Heroku 在 SSL 到达您的应用程序之前终止了它。这会导致 express 看到非 ssl 流量，这可能是它在 Heroku 上运行时拒绝设置 cookie 的原因。

Heroku 使用原始协议设置 X-Forwarded-Proto 标头。我没有对此进行测试，但根据文档，您必须通过将trust proxy 设置为记录的here 来告诉express 尊重该标头中的信息。在req.protocolhere 下找到更多详细信息。