使用superfaceai/passport-twitter-oauth2时无法验证授权请求状态

按照superfaceai/passport-twitter-oauth2的官方示例实现OAuth 2.0认证，但每次尝试登录或授权应用时，都会被重定向到指定的failureRedirect URL，同时显示错误信息：无法验证授权请求状态。

错误截图：

相关代码如下：

const passport = require('passport');
const { Strategy } = require('@superfaceai/passport-twitter-oauth2');
const session = require('express-session');
const express = require('express'); // 原代码遗漏express引入，此处补充

const TWITTER_CLIENT_ID = "xxxxxxxxxxxxxxxxx"
const TWITTER_CLIENT_SECRET = "xxxxxxxxxxxxxxxxx"

passport.serializeUser(function (user, done) {
  done(null, user);
});
passport.deserializeUser(function (obj, done) {
  done(null, obj);
});

// 使用Twitter OAuth2策略
passport.use(
  new Strategy(
    {
      clientID: TWITTER_CLIENT_ID,
      clientSecret: TWITTER_CLIENT_SECRET,
      clientType: 'confidential',
      callbackURL: `http://127.0.0.1:6002/social/twitter/callback`,
    },
    (accessToken, refreshToken, profile, done) => {
      console.log('Success!', { accessToken, refreshToken });
      return done(null, profile);
    }
  )
);

const app = express();

app.use(passport.initialize());
app.use(
  session({ secret: 'keyboard cat', resave: false, saveUninitialized: true })
);

app.get(
  '/social/twitter',
  passport.authenticate('twitter', {
    scope: ['tweet.read', 'users.read', 'offline.access'],
  })
);

app.get(
  '/login',
  function (req, res) {
    const sessionData = JSON.stringify(req.session, undefined, 2);
    res.end(
      `<h1>Authentication Failed</h1> User data: <pre>${sessionData}</pre>`
    );
  }
);

app.get(
  '/social/twitter/callback',
  passport.authenticate('twitter',
  {failureRedirect:'/login',
  failureMessage:true}
  ),
  function (req, res) {
    const userData = JSON.stringify(req.user, undefined, 2);
    res.end(
      `<h1>Authentication succeeded</h1> User data: <pre>${userData}</pre>`
    );
  }
);

app.listen(6002, () => {
  console.log(`Listening on http://127.0.0.1:6002`);
});

这个错误的核心原因是中间件加载顺序错误：Passport初始化依赖Session来存储和验证OAuth流程中的state参数，必须先加载Session中间件，再初始化Passport。此外代码还遗漏了passport.session()中间件，这是Passport维护用户会话的必要环节。

修正步骤： #

1. 调整中间件顺序：先加载express-session，再加载passport.initialize()和passport.session()
2. 添加缺失的passport.session()：启用Passport的会话支持

修正后的核心代码片段：

const app = express();

// 1. 先加载Session中间件
app.use(
  session({ secret: 'keyboard cat', resave: false, saveUninitialized: true })
);
// 2. 再初始化Passport
app.use(passport.initialize());
// 3. 启用Passport会话支持（必须在Session之后）
app.use(passport.session());

其他需要检查的点： #

• 确认Twitter开发者后台配置的回调URL和代码中的callbackURL完全一致，包括协议（http/https）、域名、端口和路径，不能有任何差异
• 核对TWITTER_CLIENT_ID和TWITTER_CLIENT_SECRET，确保复制时没有多余空格或字符
• 本地测试时保持访问地址和回调URL的域名一致，不要混用localhost和127.0.0.1

内容的提问来源于stack exchange，提问作者Arun Lazer