Express.js结合Passport-Google-OAuth20部署后，Web应用无法维持认证状态，但浏览器直接访问API正常

看起来你遇到的问题特别典型：本地环境下认证流程丝滑顺畅，但部署到Google Cloud Run后，前端应用死活维持不住认证状态——明明浏览器直接敲API地址能返回已认证，可前端一调用就回到未认证状态。我帮你梳理几个最可能的原因和对应的修复方案：

1. Cookie的Secure属性配置错误 #

你当前的Session Cookie设置是cookie: { secure: false }，这在本地HTTP环境下完全没问题，但部署到Cloud Run后，你的服务是跑在HTTPS环境里的。浏览器有个安全机制：当页面处于HTTPS协议下时，secure: false的Cookie会被浏览器拒绝保存（或者后续请求不会携带），这直接导致Session无法在前端和后端之间传递，认证状态自然丢了。

修复方法：
把Cookie的Secure属性改成动态判断环境的模式，生产环境设为true，本地设为false，同时跨域场景下要加上sameSite: 'none'：

app.use(session({ 
  secret: 'keyboard cat', 
  resave: false, // 生产环境建议设为false，减少不必要的Session存储
  saveUninitialized: false, // 生产环境建议设为false，避免创建空Session
  cookie: { 
    secure: process.env.NODE_ENV === 'production', // 动态适配环境
    sameSite: 'none', // 跨域场景下必须设为none，配合secure: true生效
    maxAge: 24 * 60 * 60 * 1000 // 可选：给Cookie设置过期时间，增强安全性
  } 
}));

2. CORS配置的Origin末尾多了斜杠 #

你的CORS配置里，Cloud Run的Origin写的是'https://xxxxxxx.us-central1.run.app/'（末尾带斜杠），但实际前端请求的Origin是不带斜杠的https://xxxxxxx.us-central1.run.app，这会导致Origin匹配失败，浏览器直接阻止携带Credentials的跨域请求。

修复方法：
去掉Origin里的末尾斜杠：

const corsOptions = { 
  origin: [ 
    'http://localhost:3000', 
    'https://xxxxxxx.us-central1.run.app', // 删掉末尾的/
  ], 
  methods: 'GET,HEAD,PUT,PATCH,POST,DELETE,OPTIONS', 
  allowedHeaders: ['Content-Type', 'Authorization'], 
  credentials: true, 
};

3. 前端Fetch的API路径错误 #

你前端代码里的请求路径是'express.server/auth/current'，这明显是个占位符或者错误的相对路径。如果你的Express API是部署在独立的Cloud Run服务上，这里必须写完整的API域名；如果是和前端同域名部署，直接用相对路径即可。

修复方法：
如果是独立API服务：

const rawdata = await fetch('https://你的express-api域名/auth/current', { 
  credentials: 'include' 
})

如果是同域名部署：

const rawdata = await fetch('/auth/current', { 
  credentials: 'include' 
})

4. Google OAuth回调URL的配置检查 #

虽然浏览器直接访问API能认证，但还是要确认Google Cloud Console里的OAuth 2.0客户端ID的授权回调URL，已经添加了部署后的完整地址，比如https://你的express-api域名/auth/google/callback。如果只加了本地的回调URL，部署后的认证流程可能会隐性出错。

先优先检查前两个问题（Cookie的Secure属性和CORS Origin的斜杠），这两个是跨域认证丢失最常见的坑，修复后应该能解决大部分问题。如果还是不行，可以再看一下前端Fetch的路径是否正确，以及Session的存储是否正常。

内容来源于stack exchange