PassportJS+PassportJWT+Express：DELETE /logout接口401未授权问题

你的问题核心是JwtStrategy的回调完全没触发，说明PassportJWT根本没从请求中提取到有效的JWT令牌，或者策略没有正确注册。以下是具体排查方向：

1. 优先检查请求头格式 #

ExtractJwt.fromAuthHeaderAsBearerToken()要求请求头必须严格符合格式：

Authorization: Bearer <你的JWT令牌>

• 确认Bearer和令牌之间有且只有一个空格
• 确认令牌没有被截断、转义或包含多余字符
• 可以在路由前临时加中间件打印请求头，验证服务器是否收到正确的头：

app.delete("/logout", (req, res, next) => {
  console.log("收到的Authorization头:", req.headers.authorization);
  next();
}, passport.authenticate('jwt', { session: false }), this.logout.bind(this), this.send401);

2. 验证策略注册是否成功 #

• 确认setupJWTStrategy函数确实被调用（你已添加console.log("setupJWTStrategy")，检查控制台是否输出该日志）
• 可以在注册策略后打印Passport的已注册策略，确认"jwt"策略存在：

setupJWTStrategy() {
  console.log("setupJWTStrategy");
  this.jwtSecretOrKey = process.env.JWT_KEY;
  const strategy = PassportService.getJWTStrategy();
  passport.use("jwt", strategy);
  // 打印所有已注册策略
  console.log("已注册的Passport策略:", Object.keys(passport._strategies));
}

3. 检查环境变量加载时机 #

如果你的process.env.JWT_KEY是通过dotenv等工具加载的，确保在初始化Passport策略之前就已经加载了环境变量。比如：

// 先加载环境变量
require('dotenv').config();
// 再初始化Passport和策略
this.app.use(passport.initialize());
this.passportService.setupStrategies();

虽然你说其他场景正常，但如果logout路由是单独加载的，仍需确认该场景下process.env.JWT_KEY是否有效。

4. 调整JWT过期字段（可选但建议） #

你当前payload里用的是自定义的expiration字段，但JWT标准的过期字段是exp（秒级时间戳）。PassportJWT默认会自动验证exp字段，使用自定义字段无法触发自动过期校验，建议修改为：

let payload = {
  user_id: userModel.id,
  exp: Math.floor(nextWeek.getTime() / 1000), // 转换为秒级时间戳
};
const token = jwt.sign(payload, process.env.JWT_KEY!);

5. 开启PassportJWT调试模式 #

在JWT策略配置中开启debug模式，查看具体的错误日志：

static getJWTStrategy() {
  let jwtOptions: any = {};
  jwtOptions.jwtFromRequest = ExtractJwt.fromAuthHeaderAsBearerToken();
  jwtOptions.secretOrKey = process.env.JWT_KEY;
  jwtOptions.debug = true; // 开启调试日志
  return new JwtStrategy(jwtOptions, (jwt_payload, done) => {
    // ... 原有逻辑
  })
}

调试日志会输出令牌提取、验证的详细过程，帮助定位问题。

内容的提问来源于stack exchange，提问作者smb