Passport.js认证回调报错暴露堆栈追踪的解决方法

failureRedirect 不生效、错误堆栈直接暴露给用户的核心原因有两个：

• 你当前使用的passport.authenticate中间件默认配置，仅会在用户认证不通过（比如授权被拒、身份校验失败）时触发failureRedirect，OAuth流程中令牌交换阶段抛出的底层异常（比如你遇到的无效code报错、网络请求失败、密钥配置错误这类直接抛出Error对象的场景）不会被这个配置捕获，会直接沿着Express中间件链向上冒泡。
• Express在非生产环境下的默认错误处理器，会直接把完整错误堆栈作为响应返回给客户端，里面包含服务器本地路径、依赖包路径等敏感信息。

1. 重写回调路由，用自定义认证回调捕获全流程异常 #

替换原有/callback路由的实现，改用passport支持的自定义回调模式，手动处理异常、认证失败、认证成功三种场景，避免错误直接冒泡：

router.get('/callback', (req, res, next) => {
  passport.authenticate('discord', (err, user, info) => {
    // 捕获所有OAuth流程抛出的底层错误
    if (err) {
      // 错误仅打在服务端日志，方便排查，绝对不要透传给前端
      console.error('Discord OAuth流程异常:', err);
      return res.redirect('http://localhost:3000/?auth=error');
    }
    // 处理认证失败场景（比如用户主动拒绝授权）
    if (!user) {
      return res.redirect('http://localhost:3000/?auth=denied');
    }
    // 认证成功后手动完成登录态写入
    req.logIn(user, (loginErr) => {
      if (loginErr) {
        console.error('登录态写入失败:', loginErr);
        return res.redirect('http://localhost:3000/?auth=error');
      }
      // 原有认证成功的逻辑保持不变
      return res.send('<script>if(window.opener) { window.opener.postMessage(\'redirect\'); window.close(); } else { window.location.href = \'http://localhost:3000/dashboard\'; }</script>');
    });
  })(req, res, next);
});

2. 添加全局错误处理中间件做兜底 #

在所有路由定义的最末尾，添加Express标准的四参数错误处理中间件，覆盖默认的错误响应逻辑，彻底避免敏感堆栈输出：

// 注意：错误处理中间件必须保留err、req、res、next四个参数，顺序不能调整
app.use((err, req, res, next) => {
  // 完整错误信息仅记录在服务端日志
  console.error('服务端运行错误:', err);
  // 生产环境统一返回通用错误提示，不携带任何错误细节
  if (process.env.NODE_ENV === 'production') {
    return res.status(500).send('认证服务异常，请稍后重试');
  }
  // 开发环境可以按需返回简单错误信息，依然不要返回完整堆栈
  res.status(500).send(`认证失败: ${err.message}`);
});

3. 生产环境配置校验 #

正式部署时，必须将环境变量NODE_ENV设置为production，Express会自动关闭默认的堆栈输出、缓存常用模板，从框架层面避免敏感信息泄露。

内容的提问来源于stack exchange，提问作者yogurtsyum