Lucia+MongoDB在SvelteKit中登录后跳转路由被重定向至登录页问题

以下是可能导致该问题的常见原因及排查要点：

• 会话Cookie配置错误
  检查Lucia初始化时的sessionCookie参数：

  • 若部署在HTTPS环境，secure需设为true；本地HTTP开发环境则设为false，否则浏览器会拒绝保存Cookie。
  • 确认domain和path与当前站点匹配，比如主站域名是example.com，不要把domain设为sub.example.com，否则Cookie无法跨子域生效。
  • sameSite建议设为lax或strict，避免跨站请求时Cookie被拦截。

• 会话验证逻辑未正确实现
  在hooks.server.ts中，必须完整执行会话验证流程，包括验证会话、更新新鲜会话的Cookie，并将用户信息挂载到请求上下文：

  import { lucia } from '$lib/server/auth';
  import type { Handle } from '@sveltejs/kit';
  
  export const handle: Handle = async ({ event, resolve }) => {
    const sessionId = event.cookies.get(lucia.sessionCookieName);
    if (!sessionId) {
      event.locals.user = null;
      event.locals.session = null;
      return resolve(event);
    }
  
    const { session, user } = await lucia.validateSession(sessionId);
    // 更新新鲜会话的Cookie
    if (session && session.fresh) {
      const sessionCookie = lucia.createSessionCookie(session.id);
      event.cookies.set(sessionCookie.name, sessionCookie.value, sessionCookie.attributes);
    }
    // 会话失效时清除Cookie
    if (!session) {
      const sessionCookie = lucia.createBlankSessionCookie();
      event.cookies.set(sessionCookie.name, sessionCookie.value, sessionCookie.attributes);
    }
    event.locals.user = user;
    event.locals.session = session;
  
    return resolve(event);
  };
  

  若跳过其中任意步骤，都会导致后续路由无法识别用户登录状态。

• MongoDB会话存储读写异常
  虽然用户数据能插入，但会话数据可能未正确写入或读取：

  • 检查Lucia的MongoDB适配器配置，确认集合名称、数据库连接字符串无误。
  • 查看MongoDB中的会话集合，确认文档包含id、userId、expiresAt等必填字段，且expiresAt时间合理。
  • 验证数据库用户权限，确保拥有会话集合的读写权限。

• 路由保护逻辑判断错误
  检查需要登录的路由的保护代码，避免逻辑颠倒：

  // 错误：已登录时重定向到登录页
  if (event.locals.user) throw redirect(302, '/login');
  // 正确：未登录时重定向到登录页
  if (!event.locals.user) throw redirect(302, '/login');
  

  另外，确保路由保护逻辑是在会话验证完成后执行的，不要提前触发重定向。

• 会话过期时间设置不合理
  检查Lucia初始化时的sessionExpiresIn参数，若设置过短（比如几秒），会导致登录后会话立即失效。同时确认MongoDB的会话集合是否有自动清理过期文档的索引（Lucia适配器通常会自动创建，可在MongoDB Compass中查看索引）。

• 请求上下文传递问题
  在SvelteKit中，确保页面组件或API路由通过正确的方式获取用户状态：

  • 页面组件中使用$page.data.user（需在+page.server.ts中传递）或event.locals.user（在服务器端代码中）。
  • 避免在客户端代码中直接读取Cookie验证会话，必须通过服务器端的hooks.server.ts处理。

内容的提问来源于stack exchange，提问作者RegistryBit