Session跨路由不持久化：passport.authenticate清除req.session.returnTo问题

问题根源 #

Passport的passport.authenticate('local')在成功验证用户身份后，会自动调用req.login()方法，而该方法默认执行req.session.regenerate()——这个操作会创建全新的Session对象替换旧的，导致之前存入req.session.returnTo的内容被清空。

解决方案 #

方案1：使用自定义回调暂存returnTo

修改登录路由，放弃默认链式调用，改用Passport自定义回调，在认证前提前取出returnTo暂存，避免被新Session覆盖：

router.post('/login', (req, res, next) => {
  // 提前取出目标URL并暂存
  const targetUrl = req.session.returnTo;
  passport.authenticate('local', { failureFlash: true, failureRedirect: '/login' }, (err, user) => {
    if (err) return next(err);
    if (!user) return res.redirect('/login');
    
    // 手动处理用户登录
    req.login(user, (loginErr) => {
      if (loginErr) return next(loginErr);
      req.flash('success', 'Welcome back !');
      // 使用暂存的目标URL跳转
      res.redirect(targetUrl || '/campgrounds');
    });
  })(req, res, next);
});

方案2：修改req.login配置，禁止自动重生成Session

若无需会话固定防护（生产环境需评估安全风险后使用），可在req.login时传入{ regenerate: false }选项，保留原有Session：

router.post('/login', passport.authenticate('local', { failureFlash: true, failureRedirect: '/login' }), (req, res) => {
  // 手动登录并禁用Session重生成
  req.login(req.user, { regenerate: false }, (err) => {
    if (err) return next(err);
    req.flash('success', 'Welcome back !');
    const redirectUrl = req.session.returnTo || '/campgrounds';
    res.redirect(redirectUrl);
  });
});

方案3：用Flash消息存储returnTo

修改登录校验中间件，把目标URL存入Flash消息（Flash存储在Session的独立字段中，部分场景下不会被Passport的Session重生成清空）：

// 登录校验中间件
module.exports.isLoggedIn = (req, res, next) => {
  if(!req.isAuthenticated()){
    // 存入Flash而非直接存Session
    req.flash('returnTo', req.originalUrl);
    req.flash('error', 'Must be Signed in first');
    res.redirect('/login');
  }
  else{
    next();
  }
} 

// 登录路由
router.post('/login', passport.authenticate('local', { failureFlash: true, failureRedirect: '/login' }), (req, res) => {
  req.flash('success', 'Welcome back !');
  // 从Flash中取出目标URL
  const redirectUrl = req.flash('returnTo')[0] || '/campgrounds';
  res.redirect(redirectUrl);
})

内容的提问来源于stack exchange，提问作者Sarthak Sharma