MERN应用Google OAuth 2.0认证异常：req.user未定义求助

问题现象 #

• 部署到域名后，已在Google控制台配置正确的授权URI与JS源，但前端通过fetch('https://example.net/auth/login/success')请求时返回undefined且报403错误，服务器端打印req.user始终为undefined
• 直接在浏览器地址栏访问该接口可正常返回用户JSON数据
• passport.serializeUser和passport.deserializeUser中能打印完整的Google用户信息，无undefined情况

相关代码 #

登录成功路由代码 #

router.get('/login/success', (req, res) => {
    console.log("REQ.USER")
    console.log(req.user) // 始终为undefined
    if(req.user){
        res.status(200).json({
            success: true,
            message: 'success',
            user: req.user,
            cookies: req.cookies
        });
    }else{
        res.status(403).json({error: true, message: 'Not Authorized'})
    }
})

服务器中间件配置 #

app.use(bodyParser.json({ limit: '100mb' }));

app.use(cookieSession(
  {
    name: "session",
    keys:['weerit'],
    maxAge: 24*60*60*1000
  }
))

app.use(passport.initialize());
app.use(passport.session());

app.use(cors({
  origin: [process.env.FRONTEND_URL, process.env.BACKEND_URL],
  methods: 'GET,POST,PUT,DELETE,PATCH',
  credentials: true
}));

app.use('/auth', authRoute);
app.use('/api/users', userRoutes);
app.use('/api/listings', listingRoutes);

排查方向与解决方案 #

1. 前端Fetch请求未携带跨域凭证 #

前端调用fetch时默认不会携带跨域cookie，必须显式添加credentials: 'include'参数：

fetch('https://example.net/auth/login/success', {
  credentials: 'include'
})

这是最常见的原因——直接在地址栏访问时浏览器自动携带cookie，但fetch需要手动配置。

2. CookieSession补充跨域适配配置 #

生产环境下，cookie需要设置sameSite和secure属性以支持跨域场景：

app.use(cookieSession({
  name: "session",
  keys: ['weerit'],
  maxAge: 24*60*60*1000,
  secure: process.env.NODE_ENV === 'production', // 生产环境启用HTTPS时必须设为true
  sameSite: 'none', // 跨域场景下需设为none，必须配合secure使用
  httpOnly: true // 提升安全性，防止XSS攻击
}))

注意：sameSite: 'none'必须与secure: true同时设置，否则浏览器会拒绝存储该cookie。

3. 验证CORS配置准确性 #

• 确认process.env.FRONTEND_URL是前端的完整域名（如https://your-frontend-domain.com），不能包含路径或末尾斜杠
• 生产环境禁止使用通配符*作为origin，必须指定具体的前端域名
• 确保CORS中间件挂载在所有路由之前（当前配置顺序符合要求，但需确认origin值正确）

4. 检查Passport序列化逻辑 #

确保序列化时存储用户唯一标识（如数据库ID），反序列化时能正确从数据库读取用户：

passport.serializeUser((user, done) => {
  done(null, user.id); // 存储用户ID而非整个对象，避免序列化问题
});

passport.deserializeUser(async (id, done) => {
  try {
    const user = await User.findById(id);
    done(null, user);
  } catch (err) {
    done(err, null);
  }
});

5. 确认HTTPS环境配置 #

生产环境必须使用HTTPS，否则secure: true的cookie不会被浏览器发送。若临时使用HTTP测试，需将secure设为false，但正式部署必须切换到HTTPS。

内容的提问来源于stack exchange，提问作者Mark Vitko