Express+Passport-Local中req.isAuthenticated()返回false求助

我之前碰到过几乎一模一样的问题，Postman能正常认证但React前端调用就失败，核心原因是浏览器的同源策略限制，以及跨场景下Cookie和CORS的配置细节没处理到位。下面给你一步步的排查方向和解决办法：

1. 优先检查CORS配置是否适配跨域带凭证的场景 #

因为你在fetch里设置了credentials: 'include'，浏览器会严格遵循同源策略，这时候你的Express CORS配置必须满足两个关键条件：

• 不能用通配符*作为origin，必须指定你的React应用的具体地址（比如http://localhost:3000）
• 显式开启credentials: true，并确保暴露Set-Cookie头给前端

修改你的Express CORS配置如下：

const cors = require('cors');
app.use(cors({
  origin: 'http://localhost:3000', // 替换成你的React实际地址
  credentials: true,
  exposedHeaders: ['Set-Cookie'] // 确保前端能获取到Set-Cookie响应头
}));

2. 调整Express Session的Cookie参数适配跨域 #

跨域场景下，Session Cookie的sameSite和secure参数是关键：

• sameSite：默认是Lax，跨域请求时会被浏览器拦截，需要设为'none'
• secure：生产环境（HTTPS）下必须设为true，但本地开发（HTTP）下必须设为false，否则浏览器不会保存Cookie

修改Session配置：

app.use(session({
  secret: 'your-secret-key', // 替换成你的实际密钥
  resave: false,
  saveUninitialized: false,
  cookie: {
    sameSite: 'none',
    secure: process.env.NODE_ENV === 'production', // 生产环境自动开secure
    httpOnly: true,
    maxAge: 24 * 60 * 60 * 1000 // 根据你的需求设置过期时间
  }
}));

3. 确认Cookie解析中间件是否存在 #

Express Session依赖cookie-parser来解析请求头中的Cookie，如果你还没配置，一定要加上：

const cookieParser = require('cookie-parser');
app.use(cookieParser());

可以在你的auth中间件里打印req.headers.cookie和req.cookies，确认connect.sid是否被正确解析。

4. 验证Passport序列化逻辑是否正确 #

虽然Postman能正常工作，但还是要确认serializeUser和deserializeUser是否正确实现，这是Session能关联用户的核心：

passport.serializeUser((user, done) => {
  done(null, user.id); // 把用户ID序列化到Session中
});

passport.deserializeUser(async (id, done) => {
  try {
    const user = await SimpleCmsUsers.findById(id);
    done(null, user); // 从Session中取出ID，反序列化得到用户对象
  } catch (err) {
    done(err);
  }
});

5. 前端Fetch请求的细节检查 #

你的GET请求不需要设置Content-Type: application/x-www-form-urlencoded（因为GET没有请求体），可以去掉这个配置，避免不必要的干扰：

fetch('/dashboard/users', {
  credentials: 'include',
})
.then((response) => response.json())
.then((users) => console.log(users))
.catch((error) => console.log(error))

另外，打开浏览器的开发者工具→Application→Cookies，确认登录后connect.sid是否存在，且Domain是localhost、Path是/。

总结 #

Postman不受浏览器同源策略限制，所以能直接传递Cookie；而React在浏览器中必须严格遵循CORS和Cookie的跨域规则。最可能的问题就是CORS的origin和credentials配置，或者Session Cookie的sameSite/secure参数不对。按照上面的步骤排查，应该能解决问题。

内容的提问来源于stack exchange，提问作者kurtobando