Как работать с cookies в Express?

res.cookie(name, value, options) устанавливает cookie. options: httpOnly (недоступен JS), secure (только HTTPS), sameSite (защита от CSRF), maxAge (TTL в мс), domain, path. req.cookies содержит cookies (нужен cookie-parser middleware). req.signedCookies — подписанные cookies (защита от подмены). Для session cookie не указывай maxAge. В production всегда используй httpOnly+secure+sameSite для auth cookies.