如何在Node/Express中兼容passport-jwt与Google OAuth2.0认证？

嘿，我之前刚好遇到过一模一样的场景！你的问题核心就是要让受保护路由能同时兼容两种认证方式——JWT的Bearer令牌和Google OAuth的会话cookie。其实写一个自定义的中间件就能搞定，思路就是让路由先尝试其中一种认证，失败了再试另一种，最后都失败才返回未授权。

核心思路 #

我们要利用Passport的自定义回调模式来手动控制认证流程：

1. 先尝试JWT认证（检查请求头里的Bearer令牌）
2. 如果JWT认证失败（比如没有令牌、令牌无效），再尝试会话认证（检查Google登录后留下的session cookie）
3. 两种认证都失败时，返回401未授权

通用认证中间件实现 #

const authenticateEither = (req, res, next) => {
  // 第一步：尝试JWT认证
  passport.authenticate('jwt', { session: false }, (err, user, info) => {
    // 如果JWT认证成功，挂载用户信息到req，继续路由逻辑
    if (user) {
      req.user = user;
      return next();
    }

    // JWT认证失败，第二步：尝试会话认证（Google登录用户依赖session）
    passport.authenticate('session', (err, user) => {
      if (user) {
        req.user = user;
        return next();
      }

      // 两种认证都失败，返回未授权
      return res.status(401).json({ message: 'Unauthorized: No valid authentication found' });
    })(req, res, next);
  })(req, res, next);
};

代码解释 #

• 这里用了Passport的回调模式，而不是默认的自动响应，这样我们能灵活控制后续流程
• JWT认证部分用{ session: false }，避免JWT认证创建不必要的session
• 会话认证部分用passport.authenticate('session')——这是Passport默认的会话认证策略，会自动从请求的cookie中读取session并反序列化用户（前提是你已经配置了session序列化/反序列化）

如何使用中间件 #

把这个自定义中间件直接加到你的受保护路由上就行：

// 示例受保护路由
app.get('/api/protected-resource', authenticateEither, (req, res) => {
  res.json({
    user: req.user,
    message: '成功访问受保护资源！',
    authMethod: req.user.googleId ? 'Google OAuth' : 'JWT'
  });
});

必要的前置配置检查 #

确保你已经正确配置了以下内容：

• Google OAuth2的session序列化/反序列化：这是Google登录后保持用户会话的关键

  passport.serializeUser((user, done) => {
    done(null, user.id);
  });
  
  passport.deserializeUser(async (id, done) => {
    try {
      const user = await User.findById(id);
      done(null, user);
    } catch (err) {
      done(err);
    }
  });
  

• Express Session中间件：要提前配置好session，比如用express-session：

  const session = require('express-session');
  app.use(session({
    secret: 'your-secret-key',
    resave: false,
    saveUninitialized: false,
    cookie: { secure: process.env.NODE_ENV === 'production' } // 生产环境建议开启secure
  }));
  

• Passport初始化：别忘了在Express中初始化Passport并启用session支持：

  app.use(passport.initialize());
  app.use(passport.session());
  

可选优化 #

• 如果想优先会话认证（比如用户同时持有JWT和session的情况），只需调换两种认证的顺序即可
• 可以给中间件加配置项，让它支持指定优先认证策略
• 错误处理可以更细致，比如区分“无令牌”和“令牌无效”的场景，但核心逻辑不变

内容的提问来源于stack exchange，提问作者Avinash