Node.js Express API登录成功后无法访问受保护接口问题

一、Postman端配置问题（最常见诱因） #

由于你设置了httpOnly: true的Cookie，Postman默认不会自动在后续请求中携带Cookie，需手动开启自动携带：

• 打开目标请求集合，点击集合名称旁的「...」→「Edit」
• 切换到「Cookies」标签，开启「Enable Cookies」开关
• 登录请求完成后，检查Postman的「Cookies」面板，确认token已被保存
• 若仍未携带，可在受保护请求的「Headers」中手动添加Cookie: token=xxx（替换为实际token值）

二、代码中的语法错误（直接导致验证失效） #

你的两段代码存在多处语法问题，会打断验证逻辑：

1. 登录接口变量错误
   代码中误用了request/response，但Express回调参数应为req/res，且需添加async（因使用了await）：

   app.post('/login', async (req, res, next) => {
       const { email, password } = req.body;
       const user = await User.findOne({ email }).select("+password");
   
       if (!user) {
           return next(new ErrorHandler('Invalid credentials1.', 401));
       }
   
       // 对比输入密码与存储密码
       const passwordMatch = await bcrypt.compare(password, user.password);
       if (!passwordMatch) {
           return next(new ErrorHandler('Invalid credentials2.', 401));
       }
   
       const token = user.getJWTToken();
   
       const options = {
           expires: new Date(
               Date.now() + process.env.COOKIE_EXPIRE_DATE * 24 * 60 * 60 * 1000
           ),
           httpOnly: true
       };
   
       res.status(200).cookie('token', token, options).json({
           success: true, // 修复拼写错误：sucess → success
           message: 'Login successful',
           user,
           token,
       });
   });
   

2. 验证中间件语法错误
   中间件使用await却未添加async，且误用request变量，需修正：

   const verifyLogin = async (req, res, next) => {
       // 获取Cookie中的token
       const { token } = req.cookies;
   
       console.log(req.cookies); // 打印具体Cookie内容，方便排查
   
       if (!token) {
           return next(new ErrorHandler("Login to access.", 401));
       }
   
       try {
           const decodedData = jwt.verify(token, process.env.JWT_SECRET_KEY); // 确保jwt是你导入的jsonwebtoken模块
           req.user = await User.findById(decodedData.userId);
           next();
       } catch (err) {
           // 处理token过期或无效的情况
           return next(new ErrorHandler("Invalid or expired token.", 401));
       }
   };
   

三、跨域场景下的Cookie配置问题 #

若前后端跨域部署，需额外配置：

• 后端开启CORS并允许携带Cookie：

  const cors = require('cors');
  app.use(cors({
      origin: 'http://你的前端域名', // 例：http://localhost:3000
      credentials: true // 必须设为true，允许跨域携带Cookie
  }));
  

• Cookie需添加sameSite: 'None'和secure: true（secure: true要求HTTPS，本地测试可暂时省略）

四、调试技巧 #

• 在verifyLogin中间件中打印req.cookies，确认请求是否携带token
• 检查Postman的「Cookies」面板，确认token已被正确存储
• 若为前端请求，查看浏览器控制台是否有Cookie被拦截的警告

内容的提问来源于stack exchange，提问作者Sami Ali