Passport.js cookie未持久化导致登录后身份认证失败问题排查求助

排查修复方向 #

1. 优先修复Cookie配置的属性冲突问题
   你当前session配置中sameSite: "none"但secure: false，不符合W3C规范要求：SameSite=None的Cookie必须同时设置Secure=true才会被浏览器正常处理。Chrome对localhost本地环境做了特殊兼容，Firefox则严格执行规范，这是你仅在Firefox出现异常的核心诱因。
   • 本地开发环境解决方案：将sameSite改为"lax"，保持secure: false即可
   • 线上HTTPS部署环境解决方案：设置sameSite: "none"+secure: true
2. 确认登录接口响应前已完成Session持久化
   Passport的登录态写入Session、以及MongoStore将Session写入数据库都是异步操作，如果你没有等待操作完成就直接返回登录成功响应，会导致客户端紧接着发起的身份校验请求拿到的还是旧的Session数据，没有passport相关字段。
   修改登录接口逻辑，在返回响应前手动调用req.session.save()确保持久化完成，示例：

passport.authenticate('local', (err, user, info) => {
  if (err) return res.status(500).json(err)
  if (!user) return res.status(401).json(info)
  req.login(user, (err) => {
    if (err) return res.status(500).json(err)
    // 新增：等待session写入数据库后再返回响应
    req.session.save((err) => {
      if (err) return res.status(500).json(err)
      return res.json({code: 0, msg: '登录成功'})
    })
  })
})(req, res)

3. 检查身份校验请求的withCredentials配置
   你仅在登录请求中配置了withCredentials: true，需要确认后续调用authenticateCheck接口的Axios GET请求也携带了同样的配置，跨域请求下缺省该配置会导致浏览器不携带Cookie发送请求。
4. 清理重复的CORS中间件配置
   你同时配置了app.options和app.all两层CORS处理，可能导致响应头重复，Firefox对重复CORS头的容错性比Chrome低，直接保留app.use(cors(corsOptions))即可，删除冗余的app.options和app.all的CORS配置即可。

内容的提问来源于stack exchange，提问作者Lunacer