NestJS中PassportSerializer未触发及JWT授权失败问题排查

一、SessionSerializer的serializeUser/deserializeUser未被调用的原因及解决 #

1. 未正确绑定序列化器到Passport模块 #

在NestJS中，自定义的PassportSerializer不能直接放入providers数组，需要通过PASSPORT_SERIALIZER令牌完成绑定，修改AuthModule的providers配置：

import { PASSPORT_SERIALIZER } from '@nestjs/passport';

@Module({
  // 其他配置保持不变
  providers: [
    authService,
    userService,
    LocalStrategy,
    JwtStrategy,
    {
      provide: PASSPORT_SERIALIZER,
      useClass: SessionSerializer,
    },
  ],
})
export class authModule {}

2. 序列化流程仅在session模式下触发 #

你当前使用的是JWT无状态认证，JwtAuthGuard默认不会触发session相关的序列化/反序列化逻辑。只有当你依赖session存储用户信息（比如LocalStrategy结合session会话），且请求需要维护session时，这两个方法才会被调用。如果你的LocalAuthGuard仅用于验证用户并返回JWT，未将用户信息存入session，那么方法不触发属于正常情况。

二、JWT访问/profile接口返回未授权的排查点 #

1. 检查JwtStrategy的实现 #

确保JwtStrategy的secret与JwtModule配置一致，validate方法正常返回用户信息：

@Injectable()
export class JwtStrategy extends PassportStrategy(Strategy) {
  constructor() {
    super({
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
      ignoreExpiration: false,
      secretOrKey: 'sdfsdfsdf', // 必须和JwtModule中的secret完全一致
    });
  }

  async validate(payload: any) {
    // 根据payload中的用户标识查询用户，确保返回有效用户数据
    return { userId: payload.sub, username: payload.username };
  }
}

2. 确认JwtAuthGuard的正确性 #

确保JwtAuthGuard正确继承自AuthGuard('jwt')：

@Injectable()
export class JwtAuthGuard extends AuthGuard('jwt') {}

3. 检查Token生成逻辑 #

确认authservice.login方法正确使用JwtService生成令牌：

@Injectable()
export class authService {
  constructor(private jwtService: JwtService) {}

  async login(user: any) {
    const payload = { username: user.username, sub: user.id };
    return {
      access_token: this.jwtService.sign(payload), // 确保生成合法的JWT令牌
    };
  }
}

4. Postman请求头配置 #

请求/profile时，确保在Postman中正确携带令牌：

• 选择Authorization请求头，类型设置为Bearer Token
• 在Token输入框中粘贴登录接口返回的access_token值，不要包含多余的空格或引号

内容的提问来源于stack exchange，提问作者amgad abdo14x