Node.js+Express+Passport部署Vercel后req.user未定义问题

我之前在Vercel部署Express+Passport应用时也碰到过几乎一模一样的问题——本地完全正常，一上线就会话丢失。结合你描述的现象，给你几个针对性的排查点：

1. 重点关注Vercel Serverless函数的特性差异 #

Vercel是无服务器架构，每个请求可能分配到不同的函数实例，而且实例是短生命周期的：

• 检查你的MongoDBStore配置，确保touchAfter参数设置合理（比如touchAfter: 24 * 3600），避免频繁更新会话；同时确认MongoDB连接字符串在Vercel环境变量里配置正确，生产环境下必须带SSL参数（比如mongodb+srv://...而不是mongodb://...），否则可能无法持久化会话。
• 注意：即使你用了外部会话存储，Vercel的函数实例重启后，内存中的会话相关状态会清空，但因为你用了MongoDBStore，这应该不是核心问题，不过还是要确认每次请求都能正确连接到MongoDB。

2. 彻底检查Cookie的配置细节 #

Cookie是会话传递的核心，Vercel的反向代理环境下有几个必设项：

• 必须开启cookie.proxy = true：因为Vercel的请求是通过反向代理转发的，Express需要信任代理才能正确识别请求的协议和域名。
• 调整sameSite和secure：如果你的前端和后端是跨域的（比如前端在vercel.app，后端也在vercel.app但不同子域名，或者前端是自定义域名），要设置cookie.sameSite = 'none'，同时cookie.secure = true——因为SameSite=None强制要求HTTPS，而Vercel默认是HTTPS环境。
• 确认cookie.domain：如果用的是Vercel默认域名（比如xxx.vercel.app），可以留空让Express自动处理；如果是自定义域名，要设置为你的根域名（比如.yourdomain.com），确保子域名间能共享Cookie。
• 检查maxAge：不要设置得过短，比如测试时可以设为24 * 60 * 60 * 1000（1天），避免会话过早过期。

3. 验证请求的会话ID传递 #

你说后续请求的session只有cookie信息，说明会话ID没有被正确读取或传递：

• 前端请求必须携带credentials: 'include'：不管是fetch还是axios，都要确保这个选项开启，否则浏览器不会发送Cookie。
• 后端CORS配置必须允许credentials：如果是跨域请求，CORS不能用origin: '*'，必须指定具体的前端域名，同时设置credentials: true，比如：

  const cors = require('cors');
  app.use(cors({
    origin: 'https://your-frontend.vercel.app',
    credentials: true
  }));
  

• 查看浏览器的Network面板：登录成功后，检查后续请求的Request Headers里是否有Cookie: connect.sid=xxx（或者你自定义的会话Cookie名），如果没有，说明前端没有正确发送Cookie；如果有，再看Response Headers里的Cookie是否有更新。

4. 检查Passport序列化/反序列化的关联逻辑 #

虽然登录时serialize和deserialize正常触发，但后续请求不触发，说明会话ID对应的会话数据没有被正确读取：

• 去MongoDB的sessions集合里查看具体的会话文档，确认session.passport.user字段是否存在（这个是serializeUser存入的用户ID）。如果不存在，说明serializeUser没有正确写入会话；如果存在，说明deserializeUser没有被触发，问题出在会话读取环节。
• 确认deserializeUser的逻辑在生产环境下能正常工作：比如是否因为数据库权限问题，无法根据用户ID查询到用户？可以在deserializeUser里加日志，输出传入的用户ID和查询结果，看Vercel的函数日志里有没有相关输出。

5. 禁用Vercel的缓存机制 #

Vercel默认会缓存GET请求，这会导致会话Cookie被忽略，尤其是认证相关的路由：

• 在你的鉴权路由（比如/getcurrentuser）里添加Cache-Control头，禁止缓存：

  app.get('/getcurrentuser', (req, res) => {
    res.setHeader('Cache-Control', 'no-store, no-cache, must-revalidate');
    // 你的逻辑
  });
  

• 或者在vercel.json里配置全局缓存规则，排除认证相关路由：

  {
    "routes": [
      {
        "src": "/(getcurrentuser|api/auth.*)",
        "headers": {
          "Cache-Control": "no-store, no-cache, must-revalidate"
        }
      }
    ]
  }
  

6. 确认Vercel环境变量和构建配置 #

• 检查Vercel上的NODE_ENV是否为production：Express在production模式下会有不同的默认行为，比如cookie的secure默认是true，如果你之前在development模式下没设置，production下要确保配置正确。
• 查看Vercel的构建日志：有没有passport、express-session或MongoDBStore相关的安装报错？比如依赖版本不兼容，或者缺失某个依赖？

我当时是因为没设置cookie.proxy = true和sameSite: 'none'，加上Vercel的缓存影响，导致会话无法传递。你可以从上面的点逐一排查，应该能找到问题所在。

内容的提问来源于stack exchange，提问作者flob