Heroku部署的PassportJS Google OAuth2.0无法反序列化用户求助

核心原因是localhost属于规则宽松的特殊本地域名，生产环境跨域场景下浏览器对第三方Cookie的校验规则更严格，按以下顺序排查修复即可：

• 修正Express Session/Cookie Session配置
  生产跨域场景下必须添加3个关键配置，示例代码如下（基于express-session，cookie-session配置逻辑一致）：

  app.use(session({
    secret: '你的session密钥',
    resave: false,
    saveUninitialized: false,
    store: 你的session存储实例（如connect-mongo等，不要用默认的内存存储）,
    cookie: {
      sameSite: 'none', // 跨域场景必须设为none，允许第三方站点携带Cookie
      secure: true, // SameSite为none的Cookie必须同时开启secure，仅在HTTPS下传输
      httpOnly: true,
      maxAge: 24 * 60 * 60 * 1000
    },
    proxy: true // 必须开启，适配Heroku等反向代理部署场景，让Express正确识别HTTPS请求
  }))
  

• 修正CORS配置
  确认CORS的origin没有使用通配符*，带凭证的跨域请求不支持通配符origin，必须显式指定Firebase客户端的完整域名，例如：

  const corsOptions = {
    origin: 'https://你的firebase项目域名.web.app',
    credentials: true
  }
  app.use(cors(corsOptions))
  

• 核对Google Cloud OAuth授权配置
  登录Google Cloud控制台，在API和服务-凭据的OAuth 2.0客户端ID配置中，将生产环境服务端的回调地址完整添加到「已获授权的重定向URI」列表，地址必须和Passport策略中配置的callbackURL完全一致，包含协议头、域名、路径。
• 验证配置生效
  部署完成后打开浏览器开发者工具：
  1. 进入「应用-存储-Cookie-你的服务端域名」，确认存在Session Cookie（默认名为connect.sid），且SameSite属性为None、Secure属性为已勾选状态
  2. 查看Network面板的接口请求，确认请求头中携带了该Session Cookie

内容的提问来源于stack exchange，提问作者Andrew