使用express-session和passport的Express.js访问受保护路由时出现401未授权

核心排查方向 #

从你描述的现象（Cookie已传递但路由未识别登录状态）来看，问题大概率出在会话配置、Passport初始化顺序、前端请求凭证携带这几个环节，以下是具体修复步骤：

1. 修正express-session线上环境配置 #

线上是HTTPS环境，必须确保Cookie的secure和sameSite配置正确，否则浏览器会拒绝携带Cookie：

app.use(session({
  secret: process.env.SESSION_SECRET,
  resave: false,
  saveUninitialized: false,
  cookie: {
    maxAge: 24 * 60 * 60 * 1000,
    secure: process.env.NODE_ENV === 'production', // 生产环境强制开启
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax', // 跨域场景需设为none
    httpOnly: true
  }
}));

• secure: true：仅在HTTPS下传递Cookie，线上环境必须开启，否则浏览器会拦截Cookie
• sameSite: 'none'：若前后端跨域部署，必须配合secure: true才能让Cookie跨域正常携带

2. 确认Passport初始化顺序 #

必须保证会话中间件先于Passport初始化，否则Passport无法读取会话数据：

// 正确顺序
app.use(session(...)); // 先初始化会话
app.use(passport.initialize());
app.use(passport.session());
// 最后配置路由
app.use('/', routes);

同时检查serializeUser和deserializeUser实现是否正确，确保用户能被正确序列化到会话：

passport.serializeUser((user, done) => {
  done(null, user.id); // 仅序列化用户ID即可，避免会话体积过大
});

passport.deserializeUser(async (id, done) => {
  try {
    const user = await User.findById(id);
    done(null, user);
  } catch (err) {
    done(err);
  }
});

3. 修复受保护路由的认证中间件 #

确保/home路由使用正确的认证守卫，直接通过req.isAuthenticated()判断登录状态：

// 自定义认证中间件
const requireAuth = (req, res, next) => {
  if (req.isAuthenticated()) {
    return next();
  }
  // 前后端分离架构建议返回JSON，由前端路由处理跳转，避免页面短暂显示后跳转
  // res.status(401).json({ redirect: '/login' });
  res.redirect('/login');
};

// 配置受保护路由
app.get('/home', requireAuth, (req, res) => {
  // 返回页面或数据
});

4. 前端请求必须携带凭证 #

不管用fetch还是axios，请求受保护路由时必须开启凭证携带，否则Cookie不会被传递到后端：

// Axios示例
axios.get('/home', {
  withCredentials: true
});

// Fetch示例
fetch('/home', {
  credentials: 'include'
});

如果是React路由跳转，确保页面加载时的所有API请求都带上该配置。

5. 跨域CORS配置（若前后端分离） #

如果前端和后端域名不同，必须配置CORS允许凭证：

const cors = require('cors');
app.use(cors({
  origin: 'https://blog-t7q7.onrender.com', // 你的前端域名，不能用通配符*
  credentials: true
}));

注意：origin必须指定具体域名，使用通配符*会导致credentials: true失效。

内容的提问来源于stack exchange，提问作者elclasico