Express+PassportJS应用中重定向如何指定HTTP方法？

问题1：未登录重定向时，如何避免POST请求沿用原方法触发登录接口？ #

首先明确HTTP重定向的默认行为：Express中res.redirect()默认返回302 Found状态码，根据HTTP规范，浏览器收到302响应后，会自动将原POST请求转换为GET请求访问重定向目标地址。

也就是说，当用户用POST请求/post-something未通过isUser校验时，res.redirect("/login")会让浏览器发起GET请求/login，正好匹配你的GET登录路由，渲染登录页面，不会触发POST登录接口。

如果需要更明确的控制，可以手动指定重定向状态码为303（res.redirect(303, "/login")），303状态码明确要求浏览器用GET方法访问目标，完全避免歧义：

function isUser(req, res, next) {
  if (req.user) {
    return next();
  }
  else if (req.authInfo?.message === "user not found") {
    // 处理登出逻辑，见问题2
  }
  else {
    // 用303明确指定转换为GET请求
    return res.redirect(303, "/login");
  }
}

问题2：如何从GET/POST请求触发DELETE方式的登出逻辑？ #

浏览器的重定向机制只能发起GET/HEAD请求，无法直接通过res.redirect("/logout")触发DELETE路由。有两种实用解决方案：

方案1：在中间件内直接执行登出逻辑，无需跳转 #

既然isUser中间件已经判断到需要登出，直接在这里调用Passport的登出逻辑（注意Passport版本不同API可能有差异，新版本需异步调用），然后直接重定向到登录页：

async function isUser(req, res, next) {
  if (req.user) {
    return next();
  }
  else if (req.authInfo?.message === "user not found") {
    // 直接执行登出逻辑
    await req.logout({ keepSessionInfo: false });
    // 清除session（可选，根据你的session配置）
    req.session.destroy(err => {
      if (err) console.error(err);
      res.redirect(303, "/login");
    });
    return;
  }
  else {
    return res.redirect(303, "/login");
  }
}

方案2：让/logout路由同时支持GET和DELETE方法 #

如果想保留REST风格的DELETE接口，同时支持通过GET触发登出（适配浏览器重定向场景），可以修改路由定义：

// 同时支持GET和DELETE请求
router.route("/logout")
  .get((req, res) => {
    req.logout(...);
    res.redirect(303, "/login");
  })
  .delete((req, res) => {
    req.logout(...);
    res.json({ success: true }); // 给API调用返回JSON
  });

这样isUser中间件里的res.redirect("/logout")就会触发GET版本的登出路由，完成登出后再重定向到登录页。

内容的提问来源于stack exchange，提问作者Oscar