Express.js+Passport.js角色认证出现Too Many Redirects重定向循环

常见根源及排查步骤 #

1. 角色校验中间件逻辑错误 #

这是最常见的触发原因，中间件角色判断逻辑颠倒或错误，会导致已认证用户被反复重定向。

错误示例：

// 错误：用户符合角色时反而重定向到自身，形成循环
function checkRecruter(req, res, next) {
  if (req.isAuthenticated() && req.user.role === 'recruteur') {
    res.redirect('/recruter/dashboard');
  } else {
    next();
  }
}

// 另一种错误：逻辑非位置错误，角色不符时强制跳仪表盘
function checkRecruter(req, res, next) {
  if (!req.isAuthenticated() || req.user.role !== 'recruteur') {
    res.redirect('/recruter/dashboard');
  }
  next();
}

正确写法：

function checkRecruter(req, res, next) {
  // 已认证且角色匹配，直接放行
  if (req.isAuthenticated() && req.user.role === 'recruteur') {
    return next();
  }
  // 未认证或角色不符，跳转到无权限页面/首页，避免和登录页中间件冲突
  return res.status(403).redirect('/unauthorized');
}

2. 未认证校验中间件（checkNotAuthenticated）缺失角色判断 #

如果登录页的保护中间件在用户已认证时，固定跳转到某个仪表盘而非根据角色动态跳转，会导致角色不匹配的用户陷入循环。

错误示例：

function checkNotAuthenticated(req, res, next) {
  if (req.isAuthenticated()) {
    return res.redirect('/recruter/dashboard'); // 所有已认证用户都跳该页面，非对应角色会被拦截
  }
  next();
}

正确写法：

function checkNotAuthenticated(req, res, next) {
  if (req.isAuthenticated()) {
    // 根据用户角色跳转对应仪表盘
    switch(req.user.role) {
      case 'admin':
        return res.redirect('/admin/dashboard');
      case 'recruteur':
        return res.redirect('/recruter/dashboard');
      case 'users':
        return res.redirect('/user/dashboard');
      default:
        return res.redirect('/');
    }
  }
  next();
}

3. Passport序列化/反序列化丢失角色信息 #

如果deserializeUser未正确从数据库获取用户的role字段，会导致req.user.role不存在，角色中间件判断失败触发循环。

检查代码：

// passport.config.js
passport.serializeUser((user, done) => {
  done(null, user.id); // 仅存储用户ID，逻辑正确
});

passport.deserializeUser(async (id, done) => {
  try {
    // 确保查询返回包含role字段的完整用户对象
    const user = await User.findById(id).select('username email role');
    done(null, user);
  } catch (err) {
    done(err);
  }
});

4. 登录成功后的跳转未按角色处理 #

如果使用Passport的successRedirect固定跳转地址，而非根据角色动态跳转，会导致角色不匹配的用户进入循环。

错误示例：

router.post('/login', checkNotAuthenticated, passport.authenticate('local', {
  successRedirect: '/recruter/dashboard', // 固定跳转，非对应角色用户被拦截
  failureRedirect: '/login',
  failureFlash: true
}));

正确写法（自定义回调）：

router.post('/login', checkNotAuthenticated, (req, res, next) => {
  passport.authenticate('local', (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.redirect('/login');
    
    req.logIn(user, (err) => {
      if (err) return next(err);
      // 根据角色动态跳转
      switch(user.role) {
        case 'admin':
          return res.redirect('/admin/dashboard');
        case 'recruteur':
          return res.redirect('/recruter/dashboard');
        case 'users':
          return res.redirect('/user/dashboard');
        default:
          return res.redirect('/');
      }
    });
  })(req, res, next);
});

5. Session配置错误导致认证状态丢失 #

如果Express Session的cookie.secure设为true但使用HTTP协议，Session Cookie无法被保存，导致req.isAuthenticated()始终返回false，登录后反复跳回登录页。

检查Session配置：

app.use(session({
  secret: 'your-strong-secret-key',
  resave: false,
  saveUninitialized: false,
  cookie: { 
    secure: process.env.NODE_ENV === 'production', // 仅生产环境（HTTPS）设为true
    maxAge: 24 * 60 * 60 * 1000 // 设置有效期，避免session失效
  }
}));

快速排查流程 #

1. 查看服务器日志，确认重定向的起点和终点（比如是/recruter/dashboard→/login→/recruter/dashboard，还是页面自身重定向）。
2. 在中间件中打印req.user和req.isAuthenticated()的值，确认用户认证状态和角色信息是否正确。
3. 临时注释角色中间件，直接访问仪表盘，判断是角色校验问题还是其他逻辑问题。

内容的提问来源于stack exchange，提问作者SaintK