使用passport-auth0-openidconnect时ensureLogin不生效是什么原因？

常见问题排查方向 #

• 中间件加载顺序错误 #

  这是最高发的问题，express中间件执行顺序严格，必须按照以下顺序加载：

  // 1. 首先配置express-session
  app.use(session({
    secret: 'your-secret-key',
    resave: false,
    saveUninitialized: false,
    // 其余session自定义配置
  }))
  // 2. 再加载passport初始化中间件
  app.use(passport.initialize())
  // 3. 再加载passport session反序列化中间件
  app.use(passport.session())
  // 4. 最后才挂载业务路由
  app.use('/', yourRoutes)
  

  如果/user路由挂载在passport中间件之前，请求到达路由时passport还未完成用户反序列化，req.isAuthenticated自然返回false。

• serializeUser/deserializeUser实现异常 #

  登录成功后serializeUser会将用户标识存入session，后续请求进入时deserializeUser负责根据标识查询用户并挂载到req.user上：

  // 示例正确实现
  passport.serializeUser((user, done) => {
    done(null, user.id) // 把用户id存入session
  })
  passport.deserializeUser(async (id, done) => {
    try {
      const user = await User.findById(id) // 根据id查询完整用户信息
      done(null, user) // 查询成功后用户信息会自动挂载到req.user
    } catch (err) {
      done(err)
    }
  })
  

  如果deserializeUser查询用户失败、抛出错误或者返回空值，req.user会为空，req.isAuthenticated就返回false。可以在deserializeUser中加日志验证是否正常执行、是否拿到了正确的用户数据。

• 登录逻辑未调用req.login() #

  如果你是自定义登录验证逻辑，没有直接使用passport.authenticate的内置回调，需要手动调用req.login()将用户信息序列化到session中：

  // 登录接口示例
  app.post('/login', async (req, res) => {
    const { username, password } = req.body
    const user = await User.findOne({ username })
    if (!user || !validatePassword(password, user.password)) {
      return res.redirect('/login')
    }
    // 必须手动调用login完成session写入
    req.login(user, (err) => {
      if (err) return res.redirect('/login')
      return res.redirect('/')
    })
  })
  

  缺失req.login调用的话，即使你验证了用户名密码正确，session中也不会存入passport的用户标识，相当于登录没有生效。

• Session存储异常 #

  如果你使用的是express默认的内存session存储，服务重启后所有session都会清空，需要重新登录。如果使用外部存储如Redis、MongoDB存储session，请确认存储服务连接正常，读写没有权限问题。
  可以在/user路由中打印req.session排查，正常登录后的session中应该存在passport.user字段，对应你serializeUser存入的用户标识。

• Cookie配置错误 #

  检查session的cookie配置：

  • 如果开启了cookie.secure: true，只能在HTTPS环境下传输cookie，本地HTTP调试时cookie不会被携带
  • cookie.domain/cookie.path配置错误会导致cookie作用域不匹配，请求时不会携带
  • 跨域场景下需要前端请求开启withCredentials: true，后端CORS配置开启credentials: true，否则cookie不会被跨域传递。

内容的提问来源于stack exchange，提问作者Jackie