PassportJS会话认证登录后req.isAuthenticated总是返回false问题

问题根本原因 #

Passport 基于会话的认证依赖 Cookie 中的 connect.sid 标识用户身份，该问题 90% 是前后端跨域场景下 Cookie 没有正常携带、或者服务端会话配置错误导致的。 #

1. 前端请求必须开启携带凭证 #

所有发往后端的请求（包括登录请求、/auth 校验请求、其他业务请求）都必须开启携带凭证的配置：

• 使用 fetch 发起请求，需要添加参数 credentials: 'include'
• 使用 axios 发起请求，可全局配置 axios.defaults.withCredentials = true，也可以在单个请求中添加参数 withCredentials: true
  注意：如果不配置该参数，浏览器会自动忽略服务端返回的 Set-Cookie 响应头，也不会在后续请求中携带会话 Cookie，自然每次请求服务端都判定为新用户，req.isAuthenticated() 永远返回 false

2. 服务端 CORS 配置必须允许凭证 #

Express 的 CORS 配置需要同时满足两个要求：

• 不能将 origin 设为 *，必须显式指定前端的访问地址（比如 origin: 'http://localhost:3000'）
• 必须开启 credentials: true
  示例配置：

const cors = require('cors');
app.use(cors({
  origin: 'http://localhost:3000', // 替换成你 React 前端的实际访问地址
  credentials: true
}));

3. 校验服务端 Session 中间件的配置和加载顺序 #

要确保中间件的加载顺序完全正确，顺序错误会导致 Passport 无法正常读取会话：
正确的加载顺序为：

1. express-session 中间件
2. passport.initialize()
3. passport.session()
4. 你的业务路由中间件
   同时 express-session 的配置需要注意：

• 开发环境用 HTTP 协议时，不要开启 secure: true，该配置仅在 HTTPS 环境下生效，开启后会导致 Cookie 无法在 HTTP 协议下发送
• 配置 sameSite 属性，开发环境可以设为 'lax'，如果前后端域名完全不同可以设为 'none'（设置为 none 时必须同时开启 secure: true，使用 HTTPS 协议）
  示例 session 配置：

app.use(session({
  secret: '你自定义的session加密密钥',
  resave: false,
  saveUninitialized: false,
  cookie: {
    maxAge: 1000 * 60 * 60 * 24, // 会话有效期1天，可自定义
    sameSite: 'lax',
    secure: false // 生产环境HTTPS部署时改为true
  }
}));

4. 优化冗余的登录逻辑 #

你当前的 /login 路由已经使用了 passport.authenticate('local') 中间件，该中间件已经自动完成了用户查询、密码校验的逻辑，校验通过后会自动将用户信息挂载到 req.user 上，你后续重复写的用户查询、密码校验逻辑完全冗余，且 Passport 校验失败时会直接返回 401，根本不会走到后续逻辑中，建议简化为：

router.post("/login", passport.authenticate("local"), async (req, res) => {
  // 能走到这里说明Passport已经校验通过
  return res.status(200).json({
    userId: req.user._id,
    message: "Login successful",
  });
});

按上述步骤逐一排查修改即可解决问题。 #

内容的提问来源于stack exchange，提问作者aryat