Express+Passport登录验证异常：输错密码仍可登录求助

问题描述 #

注册路由功能正常，用户注册后数据可存入MongoDB并跳转至success页面，但登录路由存在问题：点击登录按钮后，即使输入错误密码也能完成登录。

问题根源 #

• 绕过密码验证：登录逻辑中直接创建新的user实例并调用req.login()，passport会默认这个新对象是已通过验证的用户，完全跳过密码校验步骤。
• 未处理验证失败分支：原代码中passport.authenticate的回调没有处理验证失败的情况，无论验证结果如何都会执行跳转。
• 异步逻辑顺序错误：查询data集合的异步操作放在验证回调之外，会导致跳转先执行，查询结果无法及时获取。

修复后的代码 #

修改app.js中的登录路由 #

app.post("/login", passport.authenticate("local", {
    successRedirect: "/success",
    failureRedirect: "/error-login"
}), function(req, res) {
    // 验证成功后才执行查询逻辑
    data.findOne({email: req.user.username}, function(err, userData){
        if(err){
            console.log(err);
            return;
        }
        if(userData){
            name = userData.name;
            console.log(name);
        }
    });
});

额外优化建议 #

• 替换data.find为data.findOne：邮箱是唯一标识，用findOne更高效，无需处理数组结果。
• 完善序列化/反序列化函数（可选）：改用Promise风格避免回调嵌套：

passport.serializeUser((user, done) => {
    done(null, user.id);
});

passport.deserializeUser(async (id, done) => {
    try {
        const user = await user.findById(id);
        done(null, user);
    } catch (err) {
        done(err, null);
    }
});

修复逻辑说明 #

• 直接使用passport.authenticate("local")作为路由处理函数，它会自动完成从数据库查询用户、对比密码的完整验证流程。
• 通过successRedirect和failureRedirect配置验证成功/失败后的跳转目标，无需手动判断。
• 验证成功后再查询data集合获取用户信息，保证异步逻辑执行顺序正确。

内容的提问来源于stack exchange，提问作者Bharath Reddy