Express中解码JWT无法获取自定义用户数据的问题

在Express应用中使用jsonwebtoken包生成JWT时已包含userName和email字段，但验证时仅返回iat和exp，无法获取自定义字段。相关路由代码如下：

router.post('/set-token', function(req, res, next) {
    let userName = req.body.userName;
    let email= req.body.userEmail
    const tokenMe = jwt.sign({ userName, email }, secretKey, { expiresIn: '5h' });
    console.log(tokenMe);
    res.json({"output": tokenMe});
});

router.post('/validate-token', function(req, res, next) {
    console.log(req.body.tokenEmail);
    const tokenHere = req.body.tokenEmail;
    jwt.verify(tokenHere, secretKey, function(err, decoded) {
        if(err) {
            res.redirect("/get-token/err?tokenErr=There are some errors in the server or the verification email in your inbox has some problems. Please go to your dashboard and request for a new verification email later.");
        } else {
            console.log(decoded);
            res.redirect("/dashboard2/information");
        }
        
    })
})

排查与解决方案 #

1. 确认生成token时的payload是否有效 #

生成JWT时如果userName或email为undefined，jsonwebtoken会自动忽略这些字段，最终token的payload里只有默认的iat和exp。

解决步骤：
在/set-token路由中新增日志，确认接收的参数值：

router.post('/set-token', function(req, res, next) {
    let userName = req.body.userName;
    let email= req.body.userEmail;
    // 打印参数确认是否有值
    console.log('Received params:', { userName, email });
    const tokenMe = jwt.sign({ userName, email }, secretKey, { expiresIn: '5h' });
    console.log('Generated token:', tokenMe);
    res.json({"output": tokenMe});
});

如果日志显示userName或email为undefined，说明前端传递的字段名与后端接收的不一致（比如前端传username而非userName，或email而非userEmail），需要对齐前后端字段名。

2. 验证接收的token是否完整正确 #

如果生成的token确实包含自定义字段，但验证时无法解析，可能是前端传递的token不完整或有误。

解决步骤：
在/validate-token路由中新增日志，同时尝试不验证签名直接解码token，确认payload内容：

router.post('/validate-token', function(req, res, next) {
    const tokenHere = req.body.tokenEmail;
    console.log('Received token:', tokenHere);
    // 不验证签名，仅解码查看payload
    const decodedUnverified = jwt.decode(tokenHere);
    console.log('Unverified payload:', decodedUnverified);
    
    jwt.verify(tokenHere, secretKey, function(err, decoded) {
        if(err) {
            console.error('Verification error:', err);
            res.redirect("/get-token/err?tokenErr=There are some errors in the server or the verification email in your inbox has some problems. Please go to your dashboard and request for a new verification email later.");
        } else {
            console.log('Verified payload:', decoded);
            res.redirect("/dashboard2/information");
        }
    })
})

• 如果decodedUnverified里也没有自定义字段，说明前端传递的token不是正确生成的那个，可能是传递过程中被截断、转义错误，或前端传错了字段。
• 如果decodedUnverified里有自定义字段，但decoded里没有，大概率是secretKey不匹配（可结合错误日志进一步排查）。

3. 确认secretKey一致性 #

生成和验证JWT时使用的secretKey必须完全一致，包括大小写、特殊字符、空格等。如果两处使用的secretKey不同，可能导致验证异常或payload丢失。

总结 #

最常见的原因是生成token时的自定义字段值为undefined，或验证时使用的token不正确。通过添加日志可以快速定位问题所在，对齐前后端传参字段名、确保token完整传递即可解决。

内容的提问来源于stack exchange，提问作者hamid-davodi