为何req.user值为undefined？JWT验证后用户删除功能异常

你遇到的核心问题是JWT验证后user值为undefined，导致req.user未正确赋值，最终删除用户时因req.user.id不存在而失败。以下是具体排查和解决步骤：

1. 检查JWT令牌的生成逻辑 #

jwt.verify返回的user完全依赖于生成令牌时传入的payload。如果生成token时没有传入包含id的有效数据，验证后user自然会是undefined或缺失关键字段。

确保登录/生成token的代码类似如下：

// 示例：登录接口中生成token
import jwt from "jsonwebtoken";
import User from "../models/user.model.js";

export const login = async (req, res, next) => {
  try {
    const { email, password } = req.body;
    const user = await User.findOne({ email });
    // ... 密码验证逻辑 ...
    
    // 生成token时必须传入包含id的payload
    const token = jwt.sign(
      { id: user._id.toString() }, // 将MongoDB的ObjectId转为字符串，避免后续类型不匹配
      process.env.JWT_SECRET,
      { expiresIn: "7d" }
    );
    
    // 设置cookie时确保key为access_token，和verifyUser中取的key一致
    res.cookie("access_token", token, {
      httpOnly: true,
      secure: process.env.NODE_ENV === "production"
    });
    
    res.status(200).json({ message: "登录成功" });
  } catch (err) {
    next(err);
  }
};

2. 验证token的payload内容 #

通过打印的Token data，复制该token到JWT解码工具（本地调试或在线解码工具）查看payload是否包含id字段。如果payload为空或没有id，说明生成token的逻辑存在问题。

3. 检查Express是否配置了Cookie解析中间件 #

req.cookies.access_token依赖cookie-parser中间件才能正常读取。如果你的Express主文件（如app.js）中没有配置，会导致req.cookies为undefined，进而无法获取token：

在app.js中添加以下代码：

import cookieParser from "cookie-parser";

// 在路由挂载前使用中间件
app.use(cookieParser());

4. 细化错误日志排查验证问题 #

修改verifyUser.js中的错误处理，打印具体错误信息，帮助定位验证失败的原因：

jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
  if (err) {
    console.log("Token verification error:", err.message); // 打印具体错误
    return next(errorHandler(401, "Unauthorized"));
  }
  console.log(`User data: ${JSON.stringify(user)}`);
  req.user = user;
  next();
});

常见的验证错误包括：token过期、签名密钥不匹配、token被篡改等。

5. 修正用户ID的类型匹配问题 #

MongoDB默认的_id是ObjectId类型，而req.params.userId是字符串类型。如果生成token时直接传入user._id（未转为字符串），验证后req.user.id会是ObjectId，和req.params.userId比较时会因类型不同而不相等，导致权限校验失败。

解决办法：生成token时将_id转为字符串（如步骤1所示），或者在deleteUser中统一类型后比较：

// 在deleteUser中修改权限校验逻辑
if (req.user.id.toString() !== req.params.userId) {
  // ... 错误处理 ...
}

内容的提问来源于stack exchange，提问作者Abijith