Node.js中Passport的req.isAuthenticated()始终返回false的解决方法

基于Node.js搭建登录注册系统时，使用Passport中间件在/submit路由调用req.isAuthenticated()验证用户身份，但该方法始终返回false，无法获取req.user对象提交secrets。以下是具体问题分析和修复步骤：

核心问题定位 #

代码中存在几处关键错误，导致Passport无法正确维护用户会话：

1. 反序列化函数写法错误，无法从session中恢复用户对象
2. 登录路由的认证流程逻辑顺序有误
3. Session配置存在可优化项
4. 数据库连接未添加错误处理

具体修复步骤 #

1. 修正反序列化函数 #

原代码中反序列化函数错误地调用了方法，正确的写法是将User.deserializeUser作为参数传入（而非调用它）：

// 错误写法
passport.deserializeUser(User.deserializeUser());

// 正确写法（推荐）
passport.deserializeUser(User.deserializeUser);

// 或手动实现更清晰的逻辑
passport.deserializeUser(function(id, done) {
  User.findById(id, function(err, user) {
    done(err, user);
  });
});

2. 修复登录路由的认证流程 #

原/login路由中req.login与passport.authenticate的调用顺序逻辑混乱，改为标准认证流程：

// 简化版写法
app.post("/login", passport.authenticate("local", {
  successRedirect: "/secrets",
  failureRedirect: "/login"
}));

// 如需自定义错误处理，可使用回调版
app.post("/login", function(req, res, next) {
  passport.authenticate("local", function(err, user, info) {
    if (err) return next(err);
    if (!user) return res.redirect("/login");
    req.login(user, function(err) {
      if (err) return next(err);
      return res.redirect("/secrets");
    });
  })(req, res, next);
});

3. 优化Session配置 #

将saveUninitialized设为false避免保存未初始化的session，同时建议用环境变量存储密钥增强安全性：

app.use(
  session({
    secret: process.env.SESSION_SECRET || "keyboard cat",
    resave: false,
    saveUninitialized: false,
    cookie: {
      maxAge: 24 * 60 * 60 * 1000, // 会话有效期1天
      httpOnly: true // 防止前端JS访问cookie
    }
  })
);

4. 完善数据库连接错误处理 #

为Mongoose连接添加状态监听，确保数据库正常连接：

mongoose.connect("mongodb://localhost:27017/userDb")
  .then(() => console.log("MongoDB连接成功"))
  .catch(err => console.error("MongoDB连接失败:", err));

5. 修正注册路由的会话创建逻辑 #

注册成功后直接使用req.login初始化会话，替代原嵌套的passport.authenticate调用：

app.post("/register", async (req, res) => {
  try {
    const user = await User.register(
      { username: req.body.username },
      req.body.password
    );
    req.login(user, function(err) {
      if (err) throw err;
      res.redirect("/secrets");
    });
  } catch (err) {
    console.log(err);
    res.render("register", { error: err.message });
  }
});

验证修复效果 #

修改完成后重启服务器：

1. 注册或登录用户
2. 访问/submit路由，req.isAuthenticated()将返回true并正常渲染提交页面
3. 提交secrets时，req.user对象可正常获取，secret字段将成功保存到数据库

内容的提问来源于stack exchange，提问作者Oussema Sahbeni