如何在Express全路由配置Passport.js(local-strategy)同步登录状态

核心问题原因 #

• 你将express-session、passport.initialize()、passport.session()这几个身份验证相关的核心中间件，仅注册到了login子路由路由器上，其他路由没有挂载这些中间件，自然无法读取登录态，导致req.isAuthenticated()始终返回false
• passport.deserializeUser回调中直接将异步函数返回的Promise传入done参数，没有等待异步执行完成就返回，会导致用户信息解析失败，也会影响登录态校验结果

修复步骤 #

1. 把全局中间件移到项目入口文件（如app.js/index.js）中注册 #

所有路由需要共享session和passport逻辑，因此必须在挂载所有子路由之前就注册这些中间件，示例代码：

// app.js 项目入口文件
const express = require('express')
const session = require('express-session')
const passport = require('passport')
const flash = require('express-flash')
const methodOverride = require('method-override')
const loginRouter = require('./routes/login') // 替换为你实际的login路由引入路径
// 其他业务路由同理引入
const messagesRouter = require('./routes/messages')

const app = express()

// 全局中间件必须写在挂载子路由之前
app.use(express.urlencoded({ extended: false }))
app.use(flash())
app.use(
  session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
  })
)
app.use(passport.initialize())
app.use(passport.session())
app.use(methodOverride('_method'))

// 再挂载所有子路由
app.use('/login', loginRouter)
app.use('/messages', messagesRouter)
// 剩余其他路由统一在这里挂载

2. 删除login.js中重复注册的中间件 #

把login.js里的以下代码段删除即可，避免重复注册中间件冲突：

//middlewares
router.use(flash());
router.use(
  session({
    secret: process.env.SESSION_SECRET,
    resave: false,
    saveUninitialized: false,
  })
);
router.use(passport.initialize());
router.use(passport.session());
router.use(methodOverride('_method'));

3. 修复passport-config.js的反序列化逻辑 #

等待异步获取用户完成后再调用done，不要直接传入Promise对象：

passport.deserializeUser(async (id, done)=> {
  try {
    const user = await getUserById(id)
    done(null, user)
  } catch (err) {
    done(err)
  }
});

4. （可选）全局校验登录态 #

如果需要所有路由都默认校验登录状态，可以在全局中间件之后、子路由挂载之前增加自定义校验逻辑，也可以给需要校验的单个路由单独挂载checkAuthentication中间件。

内容的提问来源于stack exchange，提问作者PariParia