Passport.js谷歌认证回调中如何获取原始请求URL参数？

你遇到的核心问题是跨请求传递自定义参数时Session未正常共享，更可靠的解决方式是遵循OAuth2规范，利用state参数传递状态，同时也可修复Session配置确保其正常工作。

方案一：修复Session会话问题 #

若坚持使用Session传递参数，需确保express-session中间件在Passport相关中间件之前加载，保证会话在整个请求流程中被正确初始化和共享：

const session = require('express-session');

// 先配置Session中间件
app.use(session({
  secret: process.env.SESSION_SECRET, // 用环境变量存储密钥
  resave: false,
  saveUninitialized: false,
  cookie: {
    secure: process.env.NODE_ENV === 'production', // 生产环境启用HTTPS Cookie
    httpOnly: true,
    maxAge: 24 * 60 * 60 * 1000 // 会话有效期1天
  }
}));

// 再初始化Passport相关中间件
app.use(passport.initialize());
app.use(passport.session());

配置完成后，你原代码中req.session.isMobile即可在loginWithSSO函数中正常读取。

方案二：使用OAuth2的state参数（推荐） #

state是OAuth2规范中专门用于传递自定义状态的参数，能完美解决跨请求传递数据的需求，还可通过签名防止参数篡改，比Session更可靠。

1. 修改登录端点，传递带签名的state参数 #

const crypto = require('crypto');
const STATE_SECRET = process.env.STATE_SECRET; // 自定义签名密钥

app.get('/api/sso-login/google', (req, res, next) => {
  // 打包需要传递的参数为JSON
  const stateData = JSON.stringify({ isMobile: req.query.mobile });
  // 生成签名防止参数被篡改
  const signature = crypto.createHmac('sha256', STATE_SECRET).update(stateData).digest('hex');
  // 拼接数据与签名作为state值
  const state = `${stateData}.${signature}`;

  passport.authenticate('google', {
    scope: ['profile', 'email'],
    state: state // 传递自定义state
  })(req, res, next);
});

2. 在回调函数中解析并验证state #

async function loginWithSSO(req, res) {
  try {
    let user = req.parsedUser;
    // ...用户登录逻辑...

    // 拆分state中的数据与签名
    const [stateData, signature] = req.query.state.split('.');
    // 验证签名有效性
    const expectedSignature = crypto.createHmac('sha256', process.env.STATE_SECRET).update(stateData).digest('hex');
    if (signature !== expectedSignature) {
      throw new Error('无效的请求状态');
    }
    // 解析出原始请求参数
    const { isMobile } = JSON.parse(stateData);

    // 根据参数执行跳转逻辑
    if (isMobile) {
      return res.status(200).redirect(`redirect1://oauth-callback?token=${token}`);
    }
    return res.status(200).redirect(`${process.env.BASE}?token=${token}`);
  } catch (err) {
    console.error(err);
    res.status(500).send('登录失败');
  }
}

为什么推荐state方案？ #

• 符合OAuth2规范，是跨请求传递自定义状态的标准做法
• 不依赖Session，避免了Session配置、跨域Cookie等潜在问题
• 可通过签名防止参数被篡改，安全性更高

内容的提问来源于stack exchange，提问作者Callum