Passport Local策略无法返回用户：前端获取user为undefined问题

让我来帮你搞定这个req.user变成undefined的问题，结合你说的「Postman正常、前端异常」的现象，再看你的代码，主要有这几个关键问题需要处理：

1. 先修复Passport反序列化的逻辑漏洞 #

你的deserializeUser方法里只处理了「找到用户」的情况，完全没管查询出错或者找不到用户的场景，这会导致Passport的反序列化流程卡住，没法正确把用户信息挂载到req.user上：

原代码的问题部分：

passport.deserializeUser((id, done) => User.findById(id).then((user) => {
 if (user) {
 done(null, user)
 } else {
 // 这里啥也没做！Passport一直在等done被调用
 }
}) );

改成更严谨的写法，一定要确保done被调用，还要捕获查询错误：

passport.deserializeUser((id, done) => {
  User.findById(id)
    .then(user => {
      // 不管有没有找到用户，都要把结果传给done，Passport会自动处理
      done(null, user);
    })
    .catch(err => {
      // 处理数据库查询出错的情况
      done(err);
    });
});

2. 跨域Cookie传递是核心问题（Postman正常的原因） #

Postman会自动帮你保存并发送Cookie，但浏览器在跨域请求时有严格的限制，这就是为什么前端请求会丢失用户信息：

前端要做的修改 #

如果用Axios发起请求，必须加上withCredentials: true，不管是登录请求还是后续获取用户信息的请求：

// 登录请求
axios.post('/login', { username: 'xxx', password: 'xxx' }, { withCredentials: true })
  .then(res => {
    // 后续获取用户信息的请求也要带这个配置
    return axios.get('/loginSuccess', { withCredentials: true });
  });

如果是原生fetch，也要设置credentials: 'include'：

fetch('/login', {
  method: 'POST',
  credentials: 'include',
  body: JSON.stringify({ username, password })
});

后端CORS配置要配合 #

如果你的前端和后端是跨域的，必须在后端配置CORS允许携带凭证：

const cors = require('cors');
// 注意：origin要填你实际的前端域名，不能用*，否则credentials不生效
app.use(cors({
  origin: 'http://localhost:3000', // 比如你的前端跑在3000端口
  credentials: true // 允许携带Cookie等凭证
}));

3. 确认Session中间件配置正确 #

Passport依赖Session来保存用户信息，一定要确保Session中间件在Passport之前加载，而且配置正确：

const session = require('express-session');
const MongoStore = require('connect-mongo'); // 用MongoDB存Session，可选

// 先配置Session
app.use(session({
  secret: 'your-secret-key', // 换成你自己的密钥
  resave: false,
  saveUninitialized: false,
  // 如果用MongoDB存Session，加上这个配置
  store: MongoStore.create({ mongoUrl: 'your-mongodb-connection-string' })
}));

// 再初始化Passport
app.use(passport.initialize());
app.use(passport.session());

如果Session没配置对，Passport根本没法把用户信息存在Session里，自然后续请求拿不到req.user。

排查步骤建议 #

1. 先把deserializeUser的逻辑修复，避免流程卡住
2. 检查前端请求是否加了withCredentials（或credentials: 'include'）
3. 确认后端CORS配置的credentials为true，且origin不是*
4. 验证Session中间件在Passport之前加载，配置正确

按照这个步骤来，应该就能解决你的问题了！

内容的提问来源于stack exchange，提问作者Big Paws