Express集成passport-facebook登录session仅单页生效，刷新跳转登录页如何解决

核心问题：CORS配置冲突导致session cookie无法被浏览器正常保存 #

你配置了两层CORS规则：

1. 第一层用cors模块设置origin: '*'同时开启credentials: true，这违反了浏览器同源策略规范：当允许跨域携带凭证（cookie、HTTP认证信息等）时，Access-Control-Allow-Origin不能使用通配符*，必须指定明确的源地址
2. 后续又手动新增了一个中间件覆盖Access-Control-Allow-Origin为http://localhost:${PORT}
   两层配置冲突导致预检OPTIONS请求返回的规则不符合规范，浏览器会拒绝保存登录后返回的session cookie。你刷新页面时没有携带有效session给服务器，就会被判定为未登录。

非强制但建议修复的问题： #

• express-session默认使用内存存储，仅适合本地调试场景，生产环境会存在内存泄漏、多进程/多实例下session不共享、服务重启session丢失的问题，建议后续替换为connect-mongo、connect-redis等持久化存储方案
• passport序列化逻辑不规范，当前serializeUser直接将完整user对象存入session，会占用不必要的session存储空间，不符合最佳实践
• 当前的user.js实现仅支持单用户存储，所有用户登录时会覆盖之前的用户数据，仅适合单人测试使用

1. 修正CORS配置，删除重复的手动配置，统一使用cors模块配置即可：

// 先删除你手写的那个手动设置Access-Control-Allow-*头的中间件，只保留下面的配置
app.use(cors({
   origin: `http://localhost:${PORT}`, // 替换通配符为明确的源地址
   credentials: true,
   optionSuccessStatus: 200
}))

2. （可选优化）修正passport序列化/反序列化逻辑，减少session存储冗余：

passport.serializeUser(function(user, done) {
    done(null, user.facebookId); // 仅序列化时只存用户唯一标识
});

passport.deserializeUser(function(facebookId, done) {
    const user = USER.query(facebookId)
    done(null, user); // 反序列化时从存储中查询完整用户信息
});

内容的提问来源于stack exchange，提问作者user2272048