PassportJS结合JWT与Google认证问题：认证自动重定向至Google

直接调用passport.authenticate(["jwt", "google"], { session: false, scope: ["profile", "email"] })时，Passport会按顺序执行策略：

• 先尝试JWT认证，若请求中无有效JWT令牌，会自动触发下一个Google策略
• Google OAuth策略默认行为是重定向到Google授权页面，这就是自动跳转的原因

你当前使用的临时中间件存在逻辑漏洞：req.isAuthenticated()依赖Passport的session支持，但你配置了session: false，因此JWT认证通过后该方法可能无法正确返回true。

方案1：纯API路由优先JWT，失败返回401 #

如果是仅支持API调用的路由，无需引导Google OAuth，可在JWT认证失败时直接返回401：

// 自定义JWT认证中间件
const authenticateJWT = (req, res, next) => {
  passport.authenticate("jwt", { session: false }, (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.status(401).json({ message: "无效的JWT令牌" });
    req.user = user;
    next();
  })(req, res, next);
};

// 使用示例
app.get("/api/protected", authenticateJWT, (req, res) => {
  res.json({ user: req.user });
});

方案2：混合路由支持JWT/Google OAuth（如前端页面） #

如果是需要同时支持两种认证方式的路由（比如用户可通过JWT直接访问，也可通过Google登录），可手动控制策略执行顺序：

const authenticateWithFallback = (req, res, next) => {
  // 优先尝试JWT认证
  passport.authenticate("jwt", { session: false }, (err, user) => {
    if (err) return next(err);
    // JWT认证成功，继续处理请求
    if (user) {
      req.user = user;
      return next();
    }
    // JWT认证失败，触发Google OAuth认证
    passport.authenticate("google", { scope: ["profile", "email"] })(req, res, next);
  })(req, res, next);
};

// 使用示例
app.get("/dashboard", authenticateWithFallback, (req, res) => {
  res.render("dashboard", { user: req.user });
});

方案3：封装通用多策略认证中间件（复用性强） #

通过自定义回调封装通用逻辑，方便在多个路由中复用：

const createMultiAuthMiddleware = (primaryStrategy, fallbackStrategy, fallbackOptions = {}) => {
  return (req, res, next) => {
    passport.authenticate(primaryStrategy, { session: false }, (err, user) => {
      if (err) return next(err);
      if (user) {
        req.user = user;
        return next();
      }
      // 执行备用认证策略
      passport.authenticate(fallbackStrategy, fallbackOptions)(req, res, next);
    })(req, res, next);
  };
};

// 创建JWT+Google认证中间件实例
const jwtOrGoogle = createMultiAuthMiddleware("jwt", "google", { scope: ["profile", "email"] });

// 使用示例
app.get("/protected", jwtOrGoogle, (req, res) => {
  res.json({ user: req.user });
});

• 关闭session: false时，req.isAuthenticated()无法正常工作，应通过req.user是否存在判断认证状态
• Passport多策略数组是按顺序执行，前一个策略未通过会自动触发下一个，这是自动跳转的核心原因，需通过自定义回调手动控制流程

内容的提问来源于stack exchange，提问作者Bernardo Rebelo