Node.js使用Passport授权时req.isAuthenticated()恒返回false怎么办

问题现状 #

在 Node.js 项目中基于 Passport 库实现授权逻辑时，用户完成登录流程、浏览器已存储对应会话 Cookie 的前提下，调用登录态校验方法req.isAuthenticated()始终返回false，无法正确识别已登录状态。

登录态校验调用代码 #

req.isAuthenticated()

现有 passport.ts 配置代码 #

import { Request } from 'express';
const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;

module.exports = (userRepository: any) => {

    passport.serializeUser((user: any, done: any) => {
        console.log("serializeUser good");
        done(null, user);
    });
    passport.deserializeUser((user: any, done: any) => {
        console.log("deserializeUser good");
        console.log("deserializeUser user : ", user);
        done(null, user);
    });
    passport.use(new LocalStrategy({
        usernameField: 'id',
        passwordField: 'pw',
        session: true,
        passReqToCallback: false,
    }, async (id: any, pw: any, done: any) => {

        const result = await userRepository.findOne({
            where: {
                userId: id
            }
        });

        if (!result) {
            return done(null, false, { message: 'it dont exist pw or id' });
        }
        return done(null, { userId: result.userId });
    }))
}

Passport 引入与登录路由代码 #

const passportConfig = require('./passport');
passportConfig(userRepository); // userRepository 为 TypeORM 实体实例

app.post('/login', passport.authenticate('local', {
    failureRedirect: 'http://localhost:3001/Login'
}), (req, res) => {
    res.redirect('http://localhost:3001/');
})

根因与正确实现方案 #

req.isAuthenticated()返回 false 本质是 Passport 无法从当前请求中解析到有效登录会话，按优先级排查修复以下问题即可：

• 缺失会话中间件或中间件注册顺序错误
  Passport 本地策略的会话能力依赖express-session实现，且中间件注册顺序有严格要求，顺序错误会直接导致会话无法解析。正确注册顺序如下：

  import session from 'express-session';
  import passport from 'passport';
  
  // 1. 最先注册会话中间件
  app.use(session({
    secret: '替换为项目自定义的加密随机字符串',
    resave: false,
    saveUninitialized: false,
    cookie: {
      httpOnly: true,
      sameSite: 'lax',
      maxAge: 24 * 60 * 60 * 1000 // 会话有效期按业务需求配置
    }
  }))
  // 2. 初始化 Passport
  app.use(passport.initialize())
  // 3. 挂载 Passport 会话中间件，用于从请求中恢复登录态
  app.use(passport.session())
  
  // 4. 所有中间件注册完成后，再加载 Passport 策略、注册业务路由
  passportConfig(userRepository);
  

• 跨域场景未正确配置 Cookie 携带规则
  示例中前端运行在 3001 端口，若后端端口与前端不一致属于跨域场景，需要同时配置后端 CORS 规则和前端请求参数：
  1. 后端配置 CORS 允许携带凭证：

  import cors from 'cors';
  app.use(cors({
    origin: 'http://localhost:3001',
    credentials: true
  }))
  

  2. 前端发起登录、后续所有需要鉴权的接口请求时，必须开启withCredentials: true配置，否则浏览器不会主动在请求中携带会话 Cookie。
• 序列化/反序列化逻辑不规范
  当前配置直接将完整用户对象存入会话，存在数据冗余、反序列化失败风险，建议仅存储用户唯一标识，反序列化阶段再查询完整用户信息：

  passport.serializeUser((user: any, done: any) => {
    // 仅将用户ID存入会话
    done(null, user.userId);
  });
  passport.deserializeUser(async (userId: string, done: any) => {
    try {
      const user = await userRepository.findOne({ where: { userId } });
      done(null, user);
    } catch(err) {
      done(err, null);
    }
  });
  

• Cookie 写入异常
  登录接口请求成功后，检查响应头是否包含Set-Cookie字段，确认浏览器已成功写入connect.sid会话 Cookie，且后续鉴权接口的请求头中携带了该 Cookie。

授权校验标准用法 #

完成上述配置后，可封装通用鉴权中间件保护需要登录才能访问的接口：

const requireAuth = (req, res, next) => {
  if (req.isAuthenticated()) {
    return next();
  }
  // 未登录场景按业务需求处理：跳转登录页或返回401状态码
  res.redirect('http://localhost:3001/Login');
}

// 需要授权的接口直接挂载该中间件即可
app.get('/api/user/profile', requireAuth, (req, res) => {
  // 登录成功后可直接通过req.user获取当前登录用户信息
  res.json({ data: req.user });
})

内容的提问来源于stack exchange，提问作者JuHongPark