如何修复Node.js+Express+MongoDB站点的登录认证故障

登录功能失效由三个直接问题导致：表单编码与解析中间件不匹配、登录态全局存储逻辑错误、接口缺少错误处理与session保存逻辑。

• 表单编码配置错误
  普通账号密码提交不需要multipart/form-data编码，该编码仅用于文件上传场景，未引入multer等对应解析中间件时，Express无法解析该格式的请求体，会导致req.body为空，拿不到用户名、密码字段，所有登录校验必然失败。
  直接修改login.ejs的表单标签，移除多余的enctype属性：

  <form action="/users/login" method="POST">
  

  同时确认index.js中在所有路由定义前，已经配置了请求体解析和session中间件：

  // 解析form-urlencoded格式的请求体
  app.use(express.urlencoded({ extended: true }))
  // 配置session，没有这行req.session会是undefined
  const session = require('express-session')
  app.use(session({
    secret: '替换为自定义随机字符串',
    resave: false,
    saveUninitialized: false,
    cookie: { maxAge: 86400000 } // cookie有效期1天，按需调整
  }))
  

• 全局登录态存储逻辑错误
  用Node.js全局变量global.loggedIn存储登录状态存在严重并发问题：全局变量被所有用户请求共享，任意用户的请求都会覆盖该值，会出现串号、登录态随机丢失的问题。
  删除原有全局变量赋值代码，改用res.locals传递登录态到模板，每个请求的变量独立隔离：

  // 删除 global.loggedIn = null; 这行代码
  app.use((req, res, next) => {
    res.locals.loggedIn = Boolean(req.session.userId);
    next()
  });
  

  后续在ejs模板中直接使用loggedIn变量判断登录状态即可，不需要引用全局变量。

• 登录接口缺少错误处理与session保存逻辑
  原有代码完全没有处理数据库查询、密码校验的异常，且设置session属性后没有主动保存就跳转，很容易出现session未写入存储就跳转，导致登录态丢失。
  替换/controllers/loginUser的代码为以下版本，增加调试日志与错误分支：

  const bcrypt = require('bcrypt')
  const User = require('../models/User')
  
  module.exports = (req,res) =>{
      const { username, password } = req.body
      // 先校验请求体字段，快速定位参数解析问题
      if (!username || !password) {
        console.log('登录参数缺失，解析到的请求体：', req.body)
        return res.redirect('/auth/login')
      }
      
      User.findOne({ username }, (error, user) => {        
          if (error) {
            console.log('查询用户信息数据库报错：', error)
            return res.redirect('/auth/login')
          }
          if (!user) {
              console.log(`用户名${username}不存在`)
              return res.redirect('/auth/login')
          }
          bcrypt.compare(password, user.password, (error, same)=>{
              if (error) {
                console.log('密码校验报错：', error)
                return res.redirect('/auth/login')
              }
              if (same) {
                  req.session.userId = user._id
                  // 保存session后再跳转，避免写入未完成就跳转
                  req.session.save(saveErr => {
                    if (saveErr) {
                      console.log('session保存失败：', saveErr)
                      return res.redirect('/auth/login')
                    }
                    res.redirect('/')
                  })
              } else {
                  console.log(`用户${username}密码输入错误`)
                  res.redirect('/auth/login')
              }
          })
      })
  }
  

修改完成后重启服务，提交登录表单时观察控制台日志：

1. 如果打印请求体为空，回头检查请求体解析中间件配置位置是否在路由之前、表单enctype是否修改正确
2. 如果提示用户不存在，检查注册时用户名是否正确入库、字段名是否匹配
3. 如果提示密码错误，检查注册时是否用bcrypt正确哈希密码存入数据库，没有存储明文
4. 登录成功跳转到首页后，确认模板中能正确读取到loggedIn为true

内容的提问来源于stack exchange，提问作者Rasputin