使用passport.js实现OAuth时未用会话却报passport.initialize()未使用错误如何解决

核心认知纠正 #

• 你对passport中间件的适配逻辑有个常见新手误区：passport.initialize() 根本不是只有开了session才要挂，它是passport接入Express的必选前置中间件，不管你用不用持久化会话，只要跑passport的认证流程，这个中间件就必须在最前面挂上。
• 只有passport.session()这个中间件，才是专门为session持久化设计的，只有要把登录状态存在cookie/session里的时候才需要加。

为什么会报这个错 #

• 你现在碰到的报错路径很直接：passport执行完策略回调里的异步逻辑后，只要你调用done()，内部就会自动触发req.logIn()方法，这个方法第一时间就会检查当前请求上有没有passport的初始化上下文。你没挂passport.initialize()，自然找不到这个上下文，就抛出了你贴的错误。
• 你说注释掉策略里的done()就不报错，本质是因为注释后代码根本没走到触发req.logIn()的环节，OAuth流程直接断在这里，根本不是问题被解决了，只是把报错的触发点绕开了而已。

具体怎么改 #

1. 打开项目入口index.js，在所有路由注册之前加上passport的核心初始化挂载：

   // 引入passport模块
   const passport = require('passport');
   // 加载你写好的Google OAuth策略配置
   require('./services/passport');
   
   const app = express();
   // 必须在所有业务路由之前挂这个，哪怕完全不用session
   app.use(passport.initialize());
   

2. 如果你确实不需要持久化会话（比如做前后端分离的无状态API），在所有调用passport.authenticate()的路由里，加上session: false的配置，就会完全跳过session序列化、反序列化的逻辑，不需要额外安装express-session这类依赖：

   // 无session模式下的Google认证跳转写法示例
   app.get('/auth/google', 
     passport.authenticate('google', { 
       scope: ['profile', 'email'],
       session: false 
     })
   )
   

顺手要改的小问题 #

• 你现在的Google Strategy回调里，完全没处理数据库查询的异常分支，要是MongoDB连接出问题，请求会直接挂住没有响应，建议补全错误判断，在catch分支里调用done(err)把错误抛出去。
• 检查passport配置里的callbackURL，要和Google OAuth后台配置的授权回调地址完全匹配，不然过了授权流程也会被Google返回403错误。

内容的提问来源于stack exchange，提问作者Rohit Bhatt