Passport的authenticate函数如何识别待认证的请求？

这个问题问得特别到位——刚接触Express和Passport的时候，很容易对这种“看不见传参”的写法产生疑惑。其实核心是Express中间件的工作机制，咱们一步步拆解：

1. passport.authenticate()返回的是一个中间件函数 #

当你调用passport.authenticate('basic', { session: false })时，它并没有立刻执行认证逻辑，而是返回了一个完全符合Express中间件规范的函数。这个函数的签名是：

function(req, res, next) {
  // 这里就是实际的认证逻辑，能直接拿到req、res、next
}

2. Express会自动为中间件传入请求对象 #

当你把这个返回的中间件函数作为第二个参数传给app.get()时，相当于告诉Express：“当有请求访问/api/me时，先执行这个中间件函数”。

而Express在处理请求的生命周期里，会自动把当前请求的req对象、响应的res对象，以及控制流程的next函数，传递给这个中间件函数。你不需要手动传参，Express帮你做了这件事。

举个简化的模拟例子 #

为了更直观，咱们写个模拟passport.authenticate逻辑的函数，就能看明白：

// 模拟Passport的authenticate方法
function mockPassportAuthenticate(strategy, options) {
  // 返回一个Express中间件函数
  return function(req, res, next) {
    // 这里就能拿到Express传来的req了！
    console.log('当前要认证的请求路径:', req.path);
    // 这里可以写实际的认证逻辑，比如从req.headers里取Basic Auth信息
    // ...
    // 认证通过后，把用户信息挂到req.user上
    req.user = { id: 1, name: 'Test User' };
    // 调用next()，把流程交给下一个处理函数
    next();
  }
}

// 使用这个模拟函数
app.get('/api/me', mockPassportAuthenticate('basic', { session: false }), function(req, res) {
  res.json(req.user);
});

总结 #

本质上，你不是直接调用认证逻辑，而是把“认证逻辑的包装函数”交给Express托管。Express会在请求到来时，自动把req等参数注入进去，让Passport能处理当前的请求。

内容的提问来源于stack exchange，提问作者lonix