使用Passport.js（Node.js）时是否每次都需安装express-session？

我在跟着The Net Ninja的教程学习Node.js中用Passport.js实现Google OAuth登录时，教程里没提express-session却能正常运行，但自己实操时遇到报错：

Login sessions require session support. Did you forget to use express-session middleware?

安装express-session并配置以下代码后恢复正常：

var session = require('express-session');

app.use(session({
  secret: 'keyboard cat',
  resave: false,
  saveUninitialized: false,
  cookie: { secure: true }
}));

想确认：使用Passport OAuth时是否必须使用express-session，且每次都需如此？

回答 #

• 常规场景下必须配置会话中间件：Passport的OAuth策略（包括Google OAuth）默认依赖会话来存储登录状态与OAuth流程中的临时关联信息，express-session是最常用的会话中间件选择。
• 教程未显式使用express-session却能运行的可能原因：
  • 教程使用的Passport版本较旧，早期版本的OAuth策略实现逻辑不同，无需显式配置会话；
  • 教程隐式集成了其他会话管理方案（比如框架自带会话支持），只是未明确提及。
• 当前最新版本的Passport OAuth策略，必须通过会话中间件完成登录流程——OAuth授权回调阶段需要关联发起请求时的临时状态，会话是存储该状态的核心载体。
• 例外场景：如果采用无会话（stateless）的认证方案（比如用JWT存储用户信息），可以不使用express-session，但这需要额外配置Passport的JWT策略，且OAuth实现逻辑会完全不同，不属于常规的登录场景。

综上，常规使用Passport实现OAuth登录时，必须配置会话中间件，express-session是标准配置项，每次都需要正确设置。

内容的提问来源于stack exchange，提问作者Omar AlHadidi