Passport JS Local Strategy未触发 仅单Mongoose模型认证正常

你的认证逻辑异常是多个配置冲突、用法错误共同导致的，核心问题如下：

• passport-local-mongoose插件会自动生成默认名为local的认证策略，你手动定义的同名LocalStrategy会被直接覆盖，这就是为什么注释掉自定义策略后订阅用户仍能登录、策略内部日志完全不输出的核心原因——实际生效的是插件自动生成的默认策略，你的自定义逻辑根本没被加载。
• 你在subscribers.js和restaurants.js两个路由文件顶层重复定义了serializeUser和deserializeUser方法，后加载的路由配置会直接覆盖前者。当前代码中restaurantsRouter在subscribersRouter之后加载，最终生效的反序列化逻辑只会去Restaurant表查询用户ID，订阅用户登录后存入session的ID在商家表查不到，自然返回未授权状态；如果调换路由加载顺序，就会变成商家登录失效。
• 登录接口写法完全违背Passport执行逻辑：你先手动创建一个未持久化的用户实例提前调用req.login()，再执行authenticate校验，直接绕开了密码校验流程。req.login是Passport认证成功后内部用来写入session的方法，不能在认证前主动调用。同时你传的策略名也存在错误：默认LocalStrategy的标识是小写local，你写的LocalStrategy、rest都是未注册的无效策略名，调用时根本找不到对应逻辑。
• 自定义策略本身存在逻辑缺陷：直接查询数据库中明文存储的password字段做比对，但passport-local-mongoose注册用户时密码会自动加盐哈希存储，数据库中不存在明文password字段；同时你调用的passwordMatches方法从未定义，就算策略触发也会直接抛错。
• 注册接口执行顺序错误：你在authenticate回调中返回newSubscriber响应，但实际subscriber.save()逻辑写在authenticate调用之后，会触发变量未定义的运行时错误。

按以下步骤调整即可解决所有认证问题：

1. 配置命名策略避免冲突 #

删除原有自定义的合并判断LocalStrategy，不要使用默认的local策略名，给两类用户分别注册独立命名的策略，彻底解决插件策略覆盖问题。所有Passport全局配置统一移到server.js中，在路由加载前完成初始化，不要在路由文件中定义全局策略。
首先在server.js顶部引入两个数据模型：

const Subscriber = require("./models/subscriber");
const Restaurant = require("./models/restaurant");

在passport.session()配置后添加两个命名策略：

// 普通用户策略，标识为subscriber-local
passport.use('subscriber-local', new LocalStrategy(Subscriber.authenticate()));
// 商家用户策略，标识为restaurant-local
passport.use('restaurant-local', new LocalStrategy(Restaurant.authenticate()));

passport-local-mongoose提供的authenticate()方法会自动处理密码哈希校验、加盐逻辑，不需要手动写查库、密码比对代码，避免明文存储、校验逻辑错误的安全问题。

2. 统一配置序列化/反序列化逻辑 #

删除subscribers.js和restaurants.js中重复写的serializeUser、deserializeUser代码，在server.js中统一配置，反序列化时根据用户类型查询对应数据表：

passport.serializeUser((user, done) => {
  // 序列化时同时存储用户ID和用户类型，反序列化时用于判断查哪张表
  done(null, {
    id: user.id,
    type: user.constructor.modelName // 直接取Mongoose实例的模型名作为类型标识
  });
});

passport.deserializeUser((sessionObj, done) => {
  try {
    if (sessionObj.type === 'subscriber') {
      Subscriber.findById(sessionObj.id, (err, user) => done(err, user));
    } else if (sessionObj.type === 'restaurant') {
      Restaurant.findById(sessionObj.id, (err, user) => done(err, user));
    } else {
      done(new Error('无效用户类型'), null);
    }
  } catch (err) {
    done(err, null);
  }
});

3. 重写两个登录接口 #

去掉提前调用req.login的错误逻辑，严格遵循「先authenticate校验账号密码，校验通过后自动写入session」的流程：

• 普通用户登录接口（subscribers.js）：

router.post("/login", (req, res, next) => {
  passport.authenticate("subscriber-local", (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.status(401).json({ message: "用户名或密码错误" });
    req.login(user, (loginErr) => {
      if (loginErr) return next(loginErr);
      return res.status(200).json({ message: "登录成功", user });
    });
  })(req, res, next);
});

• 商家登录接口（restaurants.js）：

router.post("/login", (req, res, next) => {
  passport.authenticate("restaurant-local", (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.status(401).json({ message: "商家账号或密码错误" });
    req.login(user, (loginErr) => {
      if (loginErr) return next(loginErr);
      return res.status(200).json({ message: "商家登录成功", user });
    });
  })(req, res, next);
});

4. 修复注册接口逻辑 #

注册成功后直接调用req.login写入session即可，不需要额外调用authenticate，同时调整代码执行顺序，避免变量未定义错误：

• 普通用户注册接口（subscribers.js）：

router.post("/register", async (req, res, next) => {
  try {
    const customer = await stripe.customers.create({
      name: req.body.username,
      email: req.body.email
    });
    Subscriber.register({
      username: req.body.username,
      email: req.body.email,
      stripeCustId: customer.id
    }, req.body.password, (err, subscriber) => {
      if (err) return res.status(400).json({ message: err.message });
      req.login(subscriber, (loginErr) => {
        if (loginErr) return next(loginErr);
        return res.status(201).json(subscriber);
      });
    });
  } catch (err) {
    res.status(500).json({ message: err.message });
  }
});

• 商家注册接口（restaurants.js）：

router.post("/register", async (req, res, next) => {
  try {
    const randomRestaurant = randomRest();
    Restaurant.register({
      username: req.body.username,
      email: req.body.email,
      src: randomRestaurant.img,
      title: randomRestaurant.title,
      description: randomRestaurant.description,
      menue: randomRestaurant.menue,
      rating: randomRestaurant.rating,
      categories: randomRestaurant.categories
    }, req.body.password, (err, restaurant) => {
      if (err) return res.status(400).json({ message: err.message });
      req.login(restaurant, (loginErr) => {
        if (loginErr) return next(loginErr);
        return res.status(201).json(restaurant);
      });
    });
  } catch (err) {
    res.status(500).json({ message: err.message });
  }
});

5. 修复跨域Cookie配置 #

当前默认CORS配置不允许跨域携带Cookie，会导致登录后session无法正常传递，修改server.js中的cors配置：

app.use(cors({
  origin: "替换为前端实际访问地址，如http://localhost:5173",
  credentials: true
}));

前端发请求时也需要开启携带Cookie配置：axios设置withCredentials: true，fetch设置credentials: 'include'。

• 所有Passport全局配置（策略注册、序列化反序列化）统一放在入口文件server.js中，不要在路由文件中重复定义，避免配置覆盖问题。
• 不要手动查询明文密码做校验，passport-local-mongoose已经内置了安全的密码哈希、校验逻辑，手动实现很容易出现安全漏洞。
• 不要在认证流程前主动调用req.login，该方法仅在认证成功后由Passport内部调用写入session，提前调用会完全绕开密码校验，存在严重安全风险。

内容的提问来源于stack exchange，提问作者CLAM