为何需结合Passport.js与JWT实现用户认证而非单独使用JWT？

JWT只是负责令牌签名与验证的工具，而Passport解决的是整个认证流程的标准化、复用性和扩展性问题，核心优势可以拆解为以下几点：

• 统一的认证接口：不管你用JWT、本地账号密码、Google OAuth还是微信登录，都能通过passport.authenticate()这一个方法处理认证逻辑。后续如果要加新的登录方式，直接引入对应的Passport策略包即可，不用重构现有路由的认证代码。

• 框架无缝集成的中间件：和Express、Koa等Node.js框架深度整合，把passport.authenticate('jwt')作为中间件挂在需要保护的路由上，Passport会自动完成：从请求中提取令牌、调用jwt.verify()验证、处理令牌过期/签名无效等异常、把解析后的用户信息挂载到req.user上——这些步骤不用你手动写重复代码。

• 成熟的生态封装：像passport-jwt这类官方维护的策略包，已经封装了大量细节：支持从请求头、Cookie、URL参数等多种位置提取令牌，内置常见的错误处理逻辑，比你自己手写的验证代码更稳定，社区已经帮你踩过大部分坑。

• 标准化的用户信息处理：验证通过后，Passport会把用户信息统一挂载到req.user，后续所有路由都可以直接使用这个对象，不用每次解析JWT payload后再去数据库查用户、处理数据格式，让代码风格更一致。

• 可定制的验证逻辑：Passport不会限制你的自定义需求，比如你可以在JWT验证通过后，额外检查用户是否被禁用、是否有权限访问当前路由，这些都能在策略的回调函数里实现，比自己写一堆嵌套的if-else更清晰。

直观对比：手动实现 vs Passport实现 #

手动用JWT实现认证（重复代码多） #

const jwt = require('jsonwebtoken');
const User = require('./models/User');

app.get('/protected', async (req, res) => {
  // 手动提取令牌
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) return res.status(401).send('未授权');

  try {
    // 手动验证令牌
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    // 手动查询用户
    const user = await User.findById(decoded.id);
    if (!user) return res.status(401).send('用户不存在');
    
    req.user = user;
    // 处理业务逻辑
    res.send(`欢迎，${req.user.username}`);
  } catch (err) {
    // 手动处理各种异常
    if (err.name === 'TokenExpiredError') {
      return res.status(401).send('令牌已过期');
    }
    return res.status(401).send('无效令牌');
  }
});

用Passport + JWT实现认证（简洁复用） #

const passport = require('passport');
const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;
const User = require('./models/User');

// 一次性配置JWT策略
const opts = {
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: process.env.JWT_SECRET
};
passport.use(new JwtStrategy(opts, async (jwtPayload, done) => {
  const user = await User.findById(jwtPayload.id);
  if (user) return done(null, user); // 验证通过，挂载用户信息
  return done(null, false); // 验证失败
}));

// 路由中直接使用中间件
app.get('/protected', passport.authenticate('jwt', { session: false }), (req, res) => {
  // 直接使用req.user
  res.send(`欢迎，${req.user.username}`);
});

总结 #

如果你的项目只需要最基础的JWT认证，手动写代码完全没问题。但当认证需求变得复杂（比如支持多种登录方式、需要统一的权限检查逻辑），Passport能帮你大幅减少重复代码，提升代码的可维护性和扩展性——它不是JWT的替代品，而是让JWT认证更高效、更标准化的工具。

内容的提问来源于stack exchange，提问作者Nadeem