req.isAuthenticated()在其他路由返回false，Passport会话信息丢失

核心问题原因 #

你的问题出在session配置的domain设置错误，以及会话初始化逻辑的干扰：

• 你在sessionConfig里把domain设为'localhost:3000'，但浏览器的cookie域名规则中，端口不属于域名范畴，带端口的域名会被判定为不同域，导致后端3001设置的cookie无法被前端3000的请求携带。
• saveUninitialized: true会自动创建空会话，可能覆盖已认证的有效会话信息。

具体修复步骤 #

1. 修正Session配置 #

调整sessionConfig中的关键参数：

const sessionConfig = {
    store,
    name: "session",
    secret: secret,
    resave: false,
    saveUninitialized: false, // 改为false，仅在用户认证后创建会话
    // 移除domain配置，或设置为不带端口的'localhost'
    cookie: {
        httpOnly: true,
        // secure:true, // 部署到HTTPS环境时启用
        expires: Date.now() + 1000 * 60 * 60 * 24,
        maxAge: 1000 * 60 * 60 * 24,
        sameSite: 'lax', // 适配跨域场景下的cookie规则
    }
}

• 移除domain或设为'localhost'：浏览器会自动处理同域名下的跨端口cookie共享。
• saveUninitialized: false：避免空会话干扰已认证的会话数据。

2. 确认中间件顺序 #

你当前的中间件加载顺序是正确的（cors → session → passport），无需调整，但要确保所有路由都在这些中间件之后注册。

3. 前端Axios优化（可选） #

全局配置withCredentials，避免每个请求重复设置：

axios.defaults.withCredentials = true;

4. 验证会话存储 #

确认你的session存储（如connect-mongo）连接正常，登录后查看存储中的会话记录，应包含passport字段。

测试验证 #

修改配置后重启服务，按以下步骤验证：

1. 登录成功后，打开浏览器开发者工具→Application→Cookies→localhost，确认存在session cookie，且Domain为localhost、Max-Age为86400秒。
2. 跳转页面发起GET请求时，查看请求头的Cookie字段，应包含session=xxx。
3. 后端目标路由中打印req.session，应能看到passport字段，req.isAuthenticated()返回true。

内容的提问来源于stack exchange，提问作者SimonBarcelona