如何使用Postman测试Passport Local会话身份验证

问题根因排查 #

1. Passport序列化/反序列化逻辑错误
   你当前的serializeUser直接把完整user对象传给了done，而不是用户唯一ID。导致deserializeUser拿到的第一个参数id其实是完整的user对象，用这个非ID值调用User.findById自然找不到用户，身份验证就会失败。
2. Postman Cookie冲突
   你同时手动给第二个请求加了Cookie头，又开了Cookie jar，Postman会把两个地方的Cookie合并，可能出现多个connect.sid值，服务端会优先解析到错误的会话ID，生成新会话。
3. Session配置不合理
   saveUninitialized: true会强制把未初始化的新会话（还没修改过、比如没存用户信息的会话）直接存到数据库，导致大量无效会话生成，也会干扰正常会话匹配。

解决方案 #

1. 修正Passport序列化逻辑

修改passport/setup.ts中的serializeUser方法，只存入用户ID：

passport.serializeUser((user: IUserDoc, done) => {
    // 只传用户的_id字段，不要传整个user对象
    done(null, user._id);
});

deserializeUser逻辑可以保留，也可以优化异步写法避免回调嵌套：

passport.deserializeUser(async (id: string, done) => {
    try {
        const user = await User.findById(id);
        done(null, user);
    } catch (err) {
        done(err, null);
    }
});

2. 调整Session配置

修改index.ts中的session配置，关闭不必要的配置，补全Cookie属性避免跨端问题：

app.use(session({
    secret: "mysecret",
    resave: false,
    // 改成false，只在会话被修改后才存储，减少无效会话
    saveUninitialized: false,
    store: MongoStore.create({
        mongoUrl: MONGO_URI
    }),
    cookie: {
        // 开发环境设为false，生产环境如果是https就设为true
        secure: process.env.NODE_ENV === 'production',
        // 避免前端JS读取Cookie，防止XSS
        httpOnly: true,
        // 单位毫秒，这里设1天有效期，按需调整
        maxAge: 24 * 60 * 60 * 1000
    }
}));

3. 修正Postman使用方式

不要手动给请求加Cookie头，直接打开Postman的Cookie jar功能，登录请求执行后，Postman会自动把返回的connect.sid存到Cookie罐里，后续请求会自动带上，不需要手动处理。如果之前存了冲突的Cookie，可以在Postman的Cookie管理面板里清空当前域名的所有Cookie再重试。

内容的提问来源于stack exchange，提问作者Angle Qian