部署后登录触发'jwt must be provided'认证错误，本地运行正常

问题重现 #

部署项目后点击登录触发错误：jwt must be provided，本地服务器运行完全正常。已在Render环境变量中配置JWT密钥（密钥为wyufgeeubw），且尝试重新部署前后端代码，问题仍存在。

排查解决步骤 #

• 检查前端请求的Token传递逻辑
  本地正常但线上异常，优先排查前端Token的携带情况：

  • 若用Cookie存Token，确认线上环境Cookie的SameSite、Secure属性是否适配HTTPS场景——浏览器在HTTPS环境下会拒绝非Secure的Cookie传输；
  • 若用请求头手动传Token，检查前端代码里请求头字段名（比如Authorization: Bearer <token>）是否写错，或者请求路径是否和后端路由匹配。

• 确认后端环境变量是否生效
  别光看Render的配置页面，要在后端代码里加日志验证：
  在启动文件或auth中间件里加一行console.log('加载的JWT密钥:', process.env.JWT_SECRET)，重新部署后查看Render的应用日志。如果日志输出为空或不是wyufgeeubw，说明环境变量没配置对：

  • 检查变量名大小写（比如代码里用process.env.JWT_SECRET，配置时别写成jwt_secret）；
  • 确认Render的环境变量是在当前部署分支下配置的，有些平台需要手动触发重新部署才会加载新变量。

• 核对JWT生成与验证逻辑
  结合你的auth.js中间件和路由代码，重点确认：

  1. 登录接口生成JWT时，是否正确调用了JWT_SECRET，生成的Token是否完整返回给前端；
  2. 验证中间件里提取Token的逻辑——是从Cookie取还是请求头取？线上环境下这个提取逻辑是否失效；
  3. 若用Cookie传Token，后端要确保CORS配置里开启了credentials: true，同时前端请求也要设置withCredentials: true，否则跨域请求会丢失Cookie。

• 排查跨域配置差异
  本地开发时可能用了代理工具绕开跨域限制，线上环境下后端的CORS配置要严格匹配前端域名：

  • 确认后端CORS允许的Origin是前端线上域名，而不是通配符*（用通配符会导致Cookie无法携带）；
  • 检查CORS是否允许GET、POST等登录请求用到的方法，以及对应的请求头字段。

内容的提问来源于stack exchange，提问作者Saroj Live