PassportJS中已携带credentials但req.user仍为undefined问题求助

问题描述 #

Google OAuth2认证完成后，前端通过fetch向后端/profile路由请求用户信息，已设置credentials: "include"，但后端req.user始终为undefined，无法获取用户数据，怀疑是SameSite Cookie问题，求解决方法。

前端请求代码 #

export const checkLogin = createAsyncThunk(
  "user/checkLogin",
  async () => {
    const url = "http://localhost:3001/auth/profile";
    const user = await fetch(url, {
      credentials: "include",
    }).then((response) => response.json());
    return user;
  }
);

后端相关代码 #

authRouter.get("/profile", (req, res) => {
  console.log(req.user);
  if (req.user) {
    res.send({
      redirectLink: "http://127.0.0.1:5173",
      user: req.user,
    });
  } else {
    res.send({
      redirectLink: "http://127.0.0.1:5173",
      user: null,
    });
  }
});

authRouter.get(
  "/google",
  passport.authenticate("google", {
    scope: ["profile"],
  })
);

authRouter.get(
  "/google/redirect",
  passport.authenticate("google"),
  (req, res) => {
    console.log(req.user);
    res.redirect("http://127.0.0.1:5173");
  }
);

排查与解决方法 #

1. 修正Session Cookie的SameSite配置 #

这是最可能的核心问题。现代浏览器默认限制跨域Cookie发送，需在后端将Session Cookie的SameSite设为None，同时配合secure属性（生产环境必须HTTPS，本地开发可临时关闭）。

以express-session为例，配置示例：

app.use(session({
  secret: '你的密钥字符串',
  resave: false,
  saveUninitialized: false,
  cookie: {
    sameSite: 'none',
    secure: process.env.NODE_ENV === 'production', // 生产环境强制HTTPS
    maxAge: 24 * 60 * 60 * 1000 // 可选：设置Cookie有效期
  }
}));

2. 配置正确的CORS规则 #

前端127.0.0.1:5173与后端localhost:3001属于跨域，需后端明确允许前端携带凭证：

用cors中间件的配置示例：

const cors = require('cors');
app.use(cors({
  origin: 'http://127.0.0.1:5173', // 精确指定前端地址，不能用*
  credentials: true // 允许请求携带Cookie等凭证
}));

3. 检查中间件加载顺序 #

确保express-session先于Passport相关中间件加载，顺序错误会导致Session无法被Passport识别：

// 先加载Session
app.use(session(...));
// 再初始化Passport
app.use(passport.initialize());
app.use(passport.session());

4. 确认Passport序列化/反序列化配置 #

缺失该配置会导致Session无法正确映射到req.user，需添加：

passport.serializeUser((user, done) => {
  done(null, user.id); // 将用户ID存入Session
});

passport.deserializeUser((id, done) => {
  // 根据ID从数据库查询用户（替换为你的实际查询逻辑）
  User.findById(id, (err, user) => {
    done(err, user);
  });
});

5. 统一前后端域名（本地开发） #

前端用127.0.0.1、后端用localhost会被浏览器视为不同域名，导致Cookie无法共享。可统一使用localhost或127.0.0.1，或在Session配置中指定Cookie域名：

cookie: {
  domain: '.localhost', // 允许localhost下的端口共享Cookie
  // 其他配置...
}

内容的提问来源于stack exchange，提问作者swittuth