在Passport OAuth 2.0认证中为何同时校验req.isAuthenticated()与req.user？

首先明确：req.isAuthenticated() 是Passport.js这类认证框架提供的标准方法，它的核心逻辑就是检查req.user是否存在且代表一个已认证的用户会话。那为什么不少开发者会同时校验req.isAuthenticated()和req.user？主要有这几个原因：

• 历史兼容需求：早期部分Passport版本中，isAuthenticated()的实现存在小瑕疵，极端情况下可能返回true但req.user未被正确赋值。为了兼容旧代码或避免这类历史bug，开发者保留了双重校验的习惯。
• 自定义策略的不确定性：如果是开发者自己编写的社交登录策略，或者修改了Passport默认的会话序列化/反序列化逻辑，可能出现isAuthenticated()返回true但req.user缺失的情况。双重校验能作为自定义代码的兜底，避免逻辑漏洞。
• 防御性编程思维：即使框架本身没问题，额外检查req.user可以应对框架版本更新、第三方依赖变更带来的意外情况，让代码的健壮性更强。

至于最佳实践，可以按以下原则来：

• 优先使用官方标准方法：如果你用的是Passport官方提供的标准社交登录策略（比如Google、Facebook、GitHub登录），且没有修改默认的会话处理逻辑，单独用req.isAuthenticated()完全足够，这是框架推荐的最优写法，逻辑清晰且覆盖绝大多数场景。
• 按需补充req.user校验：当你涉及自定义认证逻辑、需要校验req.user的特定属性（比如用户是否处于激活状态、是否拥有特定权限）时，再在req.isAuthenticated()通过后，补充对req.user的存在性或字段校验。
• 封装统一认证中间件：把认证逻辑封装成可复用的中间件，方便在路由中统一调用。比如：

  const ensureAuthenticated = (req, res, next) => {
    // 若用官方策略，仅需 req.isAuthenticated()
    if (req.isAuthenticated()) {
      // 如需校验用户状态，在这里补充逻辑
      if (req.user && req.user.isActive) {
        return next();
      }
      return res.redirect('/account-inactive');
    }
    res.redirect('/login');
  };
  

• 避免无意义的冗余校验：如果没有特殊场景需求，不要盲目同时写req.isAuthenticated()和req.user校验，这会增加代码冗余，反而降低可读性。

内容的提问来源于stack exchange，提问作者Rahul Kumar