解决Passport.js谷歌授权部署Cyclic后TokenError: Malformed auth code问题

以下是针对该问题的具体排查和修复步骤：

1. 严格校验回调URL一致性 #

• 登录谷歌云控制台，找到你的OAuth 2.0客户端ID，确保授权回调URL与代码中process.env.CALLBACK_URL的取值完全一致，必须包含完整的HTTPS前缀（例如https://cloudy-newt-fashion.cyclic.app/auth/google/callback）。
• 注意URL末尾不能有多余的斜杠，谷歌会对回调URL进行严格的精确匹配，任何细微差异都会导致授权码验证失败。

2. 配置Express信任反向代理 #

Cyclic平台运行在反向代理之后，Express需要明确信任代理以获取正确的请求协议（HTTPS），否则Passport可能会用HTTP生成回调地址，导致授权码校验出错。在你的Express应用初始化代码中添加：

app.set('trust proxy', true);

同时确保GoogleStrategy配置中的proxy: true保留，让Passport能够正确解析代理后的请求信息。

3. 检查授权码的完整性 #

在回调路由中临时添加日志，确认接收到的授权码是否完整：

router.get(
    '/google/callback',
    (req, res, next) => {
        console.log('Received auth code:', req.query.code);
        next();
    },
    passport.authenticate('google', {
        session: false,
        failureRedirect: '/failed',
    }),
    // ...后续逻辑
);

如果日志中显示的授权码被截断或格式异常，需要排查Cyclic平台是否对请求参数有特殊处理，或者是否存在前端路由跳转导致的参数丢失。

4. 优化Cookie的环境适配设置 #

当前代码中Cookie的secure: true仅在HTTPS环境下生效，开发环境如果使用HTTP会导致Cookie无法设置，建议根据环境动态配置：

res.cookie('jwt_auth', token, {
    maxAge: 11 * 60 * 60 * 1000,
    httpOnly: true,
    sameSite: process.env.NODE_ENV === 'production' ? 'none' : 'lax',
    secure: process.env.NODE_ENV === 'production'
})

生产环境下sameSite: 'none'可以适配跨域场景，同时确保secure: true配合HTTPS使用。

5. 更新Passport相关依赖版本 #

旧版本的passport-oauth2可能存在代理环境下的授权码解析bug，执行以下命令更新依赖：

npm update passport passport-google-oauth20 passport-oauth2

内容的提问来源于stack exchange，提问作者Atul Chourasiya