使用PassportJS实现OIDC认证部署云端后回调出现500内部错误

本地部署（http://localhost:4021）使用PassportJS + openid-client实现的认证服务运行正常，但部署至AWS云端（HTTPS地址）后，重定向回调环节出现HTTP 500内部服务器错误。调试发现触发错误时，程序未进入openid-client导入的Strategy回调，且已反复确认重定向URL配置无误。

相关代码片段：
登录路由代码：

app.get('/login', (req, res) => {
  // 省略其他代码
  const client = new oidcIssuer.Client({
      client_id: myID,
      client_secret: mySecret,
      redirect_uris: [`${MY_ENDPOINT}/auth/callback`],
      response_types: ['code']
  });

  client[custom.clock_tolerance] = 5;

  passport.use('oidc',
      new Strategy({ client, passReqToCallback: true }, async (req, tokenSet, userinfo, done) => {
          accUserInfo = userinfo;
          return done(null, tokenSet); 
      })
  );

  const options = {
      scope: 'openid' // 原代码中openid未加引号，此处修正为字符串格式
  };

  passport.authenticate('oidc', options)(req, res, (err) => {
      next();
  });
});

回调路由代码：

app.get('/auth/callback', (req, res, next) => {
    console.log('in the callback');
});

• HTTPS环境下协议识别错误
  AWS云端通常通过反向代理（如Application Load Balancer）转发请求，导致Express应用获取到的请求协议为HTTP而非HTTPS，触发openid-client的协议校验失败。
  解决：在Express应用初始化时添加信任代理配置，让应用识别真实请求协议：

app.set('trust proxy', true);

同时确保云端环境中MY_ENDPOINT变量配置为正确的HTTPS地址。

• 会话存储不兼容多实例部署
  本地开发默认使用内存会话存储，AWS云端多实例部署时，会话无法跨实例共享，导致OIDC认证所需的state参数丢失，引发回调校验失败。
  解决：改用分布式会话存储，比如Redis（或AWS ElastiCache）：

const session = require('express-session');
const RedisStore = require('connect-redis').default;
const redis = require('redis');

// 初始化Redis客户端（配置对应AWS ElastiCache地址）
const redisClient = redis.createClient({ url: 'redis://your-redis-endpoint:6379' });
redisClient.connect().catch(console.error);

// 配置会话存储
app.use(session({
  store: new RedisStore({ client: redisClient }),
  secret: 'your-strong-session-secret',
  resave: false,
  saveUninitialized: false,
  cookie: {
    secure: true, // HTTPS环境下启用
    httpOnly: true,
    sameSite: 'lax'
  }
}));

• Clock Tolerance配置错误
  原代码中client[custom.clock_tolerance] = 5;的写法存在问题（custom未定义），正确配置方式为直接设置client.clock_tolerance：

client.clock_tolerance = 5;

• 回调路由未处理OIDC认证逻辑
  当前回调路由仅打印日志，未调用Passport的认证方法处理OIDC授权码，导致认证流程中断引发500错误。修正回调路由：

app.get('/auth/callback', 
  passport.authenticate('oidc', { failureRedirect: '/login' }),
  (req, res) => {
    console.log('in the callback');
    // 认证成功后的跳转逻辑
    res.redirect('/dashboard');
  }
);

• 环境变量配置缺失
  检查云端环境变量，确保myID、mySecret、MY_ENDPOINT等参数已正确配置，且MY_ENDPOINT为HTTPS格式的完整地址。

内容的提问来源于stack exchange，提问作者xyktiger