Passport鉴权异常：isAuthenticated()始终返回true，关浏览器仍可访问受限页

你遇到的核心问题是会话Cookie被设置为持久化存储，浏览器关闭后不会自动清除，导致重新打开时仍能读取到有效的会话标识，Passport通过该标识恢复登录状态，因此isAuthenticated()始终返回true（除首次无Cookie时）。以下是具体排查和修复步骤：

1. 调整Express Session配置 #

Express-session默认生成的是持久化Cookie，需修改配置将其改为会话Cookie（浏览器关闭时自动失效）：

app.use(session({
  secret: 'your-custom-secret-key',
  resave: false,
  saveUninitialized: false,
  cookie: {
    httpOnly: true, // 防止XSS攻击窃取Cookie
    secure: process.env.NODE_ENV === 'production', // 生产环境HTTPS下启用
    maxAge: null, // 不设置固定过期时间，依赖浏览器会话结束清除
    expires: null // 与maxAge二选一，设为null则为会话Cookie
  }
}));

注意：maxAge和expires不要同时设置，两者均为null时，Cookie会被浏览器标记为会话级，关闭浏览器自动删除。

2. 校验Passport序列化/反序列化逻辑 #

确保序列化仅存储必要的用户标识，反序列化时正确校验用户存在性：

passport.serializeUser((user, done) => {
  done(null, user.id); // 仅序列化用户ID，避免冗余数据
});

passport.deserializeUser((id, done) => {
  User.findById(id, (err, user) => {
    // 用户不存在时返回null，确保isAuthenticated()准确判断
    done(err, user || null);
  });
});

若反序列化时用户不存在却返回非null值，会导致isAuthenticated()误判为已登录。

3. 完善登出逻辑 #

登出时需同时销毁服务器端会话并清除客户端Cookie，确保彻底退出：

app.get('/logout', (req, res, next) => {
  req.logout((err) => {
    if (err) return next(err);
    // 销毁服务器端会话数据
    req.session.destroy((err) => {
      if (err) return next(err);
      // 清除客户端会话Cookie（默认Cookie名为connect.sid）
      res.clearCookie('connect.sid');
      res.redirect('/login');
    });
  });
});

4. 验证浏览器Cookie状态 #

在浏览器开发者工具的Application（Chrome）/Storage（Edge）标签中，查看目标Cookie的Expires/Max-Age字段：

• 显示为Session：说明是会话Cookie，符合预期；
• 显示具体过期时间：需重新检查session配置，确保maxAge和expires均设为null。

内容的提问来源于stack exchange，提问作者Amm Sherazi