Express中注册完成后如何调用/login路由实现Passport自动登录

问题根源 #

你之前在服务端用Axios调用/login路由的方式无法生效，原因是：服务端发起的HTTP请求和用户当前浏览器的请求是完全独立的两个会话，就算/login接口返回登录成功，会话状态也只会保存在服务端发起的请求上下文里，不会同步到用户的真实客户端会话中，自然无法实现用户登录。

推荐方案：使用Passport内置req.login()手动登录 #

Passport官方提供了req.login()方法，专门用于在自定义逻辑中手动完成用户登录，效果和passport.authenticate完全一致，会自动把用户信息序列化到当前用户的Session中，不需要再重复调用/login路由。

修正后的代码如下：

app.post('/auth', async (req, res, next) => {
  const table = new quickdb.table('Users');
  const allUsers = table.all();
  // 修复原代码的语法错误：filter的闭合括号位置错误，改用find提高查询效率
  const matchUser = allUsers.find(userTmp => userTmp.email === req.body.email && userTmp.username === req.body.username);
  
  let targetUser;
  if (!matchUser) {
    // 此处写你的注册逻辑，注意密码必须用bcrypt等工具加密后再存入数据库，禁止明文存储
    targetUser = {
      username: req.body.username,
      email: req.body.email,
      password: req.body.password // 实际使用时替换为加密后的密码
    };
    table.push(targetUser);
  } else {
    // 老用户必须校验密码正确性，否则会有严重安全漏洞
    if (matchUser.password !== req.body.password) { // 实际使用时替换为加密密码对比逻辑
      req.flash('error', '密码错误');
      return res.redirect('/');
    }
    targetUser = matchUser;
  }

  // 手动调用Passport登录方法
  req.login(targetUser, (err) => {
    if (err) return next(err);
    // 登录成功跳转，和你原有/login路由的逻辑保持一致
    return res.redirect('/');
  });
});

// 原有/login路由可以保留，供单独的登录入口使用
app.post('/login', passport.authenticate('local', {
  failureFlash: true,
  failureRedirect: '/',
  successRedirect: '/',
}));

备选方案：抽离公共登录中间件复用 #

如果你希望完全复用现有/login路由的验证逻辑，可以把Passport认证逻辑抽成公共中间件，两个路由共同调用即可：

// 抽离公共登录验证中间件
const passportLoginHandler = passport.authenticate('local', {
  failureFlash: true,
  failureRedirect: '/',
  successRedirect: '/',
});

app.post('/auth', (req, res, next) => {
  const table = new quickdb.table('Users');
  const allUsers = table.all();
  const matchUser = allUsers.find(userTmp => userTmp.email === req.body.email && userTmp.username === req.body.username);
  
  if (!matchUser) {
    // 执行注册逻辑，插入新用户到数据库
  }

  // 注册完成后直接调用登录中间件，和访问/login路由效果完全一致
  passportLoginHandler(req, res, next);
});

// 原有/login路由直接使用公共中间件
app.post('/login', passportLoginHandler);

注意事项 #

• 必须增加密码校验逻辑，禁止仅通过用户名、邮箱匹配就直接登录，否则攻击者可以任意登录其他账号
• 密码必须用bcrypt、argon2等加密算法加密后存储，禁止明文存储密码
• 原代码中filter后的闭合括号位置错误，会导致语法报错，已在示例中修复

内容的提问来源于stack exchange，提问作者Sip